CVE-2026-34733WWBN AVideo 26.0及之前版本存在安全漏洞。由于`install/deleteSystemdPrivate.php`脚本中的访问控制代码存在PHP运算符优先级错误,导致本应仅限命令行运行的守卫机制失效。攻击者无需认证即可通过HTTP请求直接访问该脚本,进而导致服务器临时目录文件被删除以及目录内容泄露,目前尚无官方补丁可用。
该漏洞的核心在于PHP语言中逻辑非运算符`!`与严格比较运算符`===`的优先级差异。受影响脚本`install/deleteSystemdPrivate.php`中包含用于限制仅允许命令行(CLI)访问的守卫代码:`!php_sapi_name() === 'cli'`。开发者的逻辑意图是判断当前环境是否为CLI,若非CLI则调用`die()`终止程序。然而,PHP解释器在解析该表达式时,会优先执行`!php_sapi_name()`。由于`php_sapi_name()`在Web环境下通常返回非空字符串(如'apache2handler'或'fpm-fcgi'),非空字符串取反后结果为布尔值`false`。随后,PHP将这个`false`与字符串`'cli'`进行严格比较。显然,`false === 'cli'`的结果永远为`false`,导致`die()`语句永远不会被执行。因此,该访问控制形同虚设,脚本实际上变成了一个公开的Web接口。攻击者无需任何身份认证,仅需发送简单的HTTP GET请求即可触发该脚本,导致服务器临时目录下的文件被恶意删除,并在响应中泄露临时目录的具体内容。