IPBUF安全漏洞报告
English
CVE-2026-34733 CVSS 6.5 中危

CVE-2026-34733 AVideo PHP运算符优先级错误致未授权文件删除

披露日期: 2026-03-31

漏洞信息

漏洞编号
CVE-2026-34733
漏洞类型
逻辑漏洞
CVSS评分
6.5 中危
攻击向量
网络 (AV:N)
认证要求
无需认证 (PR:N)
用户交互
无需交互 (UI:N)
影响产品
WWBN AVideo

相关标签

逻辑漏洞未授权访问文件删除信息泄露WWBN AVideo

漏洞概述

WWBN AVideo 26.0及之前版本存在安全漏洞。由于`install/deleteSystemdPrivate.php`脚本中的访问控制代码存在PHP运算符优先级错误,导致本应仅限命令行运行的守卫机制失效。攻击者无需认证即可通过HTTP请求直接访问该脚本,进而导致服务器临时目录文件被删除以及目录内容泄露,目前尚无官方补丁可用。

技术细节

该漏洞的核心在于PHP语言中逻辑非运算符`!`与严格比较运算符`===`的优先级差异。受影响脚本`install/deleteSystemdPrivate.php`中包含用于限制仅允许命令行(CLI)访问的守卫代码:`!php_sapi_name() === 'cli'`。开发者的逻辑意图是判断当前环境是否为CLI,若非CLI则调用`die()`终止程序。然而,PHP解释器在解析该表达式时,会优先执行`!php_sapi_name()`。由于`php_sapi_name()`在Web环境下通常返回非空字符串(如'apache2handler'或'fpm-fcgi'),非空字符串取反后结果为布尔值`false`。随后,PHP将这个`false`与字符串`'cli'`进行严格比较。显然,`false === 'cli'`的结果永远为`false`,导致`die()`语句永远不会被执行。因此,该访问控制形同虚设,脚本实际上变成了一个公开的Web接口。攻击者无需任何身份认证,仅需发送简单的HTTP GET请求即可触发该脚本,导致服务器临时目录下的文件被恶意删除,并在响应中泄露临时目录的具体内容。

攻击链分析

STEP 1
侦察
攻击者识别出目标服务器运行的是WWBN AVideo 26.0或更早版本。
STEP 2
探测
攻击者向`/install/deleteSystemdPrivate.php`路径发送HTTP GET请求,验证守卫机制是否存在缺陷。
STEP 3
利用
由于运算符优先级错误导致守卫失效,服务器直接执行脚本逻辑,删除临时目录文件。
STEP 4
影响
攻击者成功造成拒绝服务(文件丢失)并获取了服务器临时目录的结构信息泄露。

PoC / 利用代码

⚠️ 仅供安全研究
以下代码仅用于安全研究和授权测试,未经授权使用属于违法行为。
PoC
import requests def check_vulnerability(target_url): """ PoC to check if the target is vulnerable to CVE-2026-34733. The script attempts to access the deleteSystemdPrivate.php file via HTTP. """ full_url = f"{target_url}/install/deleteSystemdPrivate.php" try: response = requests.get(full_url, timeout=10) if response.status_code == 200: print(f"[+] Target {target_url} is potentially vulnerable.") print(f"[+] Response content: {response.text[:200]}") else: print(f"[-] Target returned status code: {response.status_code}") except requests.exceptions.RequestException as e: print(f"[!] Error connecting to target: {e}") if __name__ == "__main__": target = "http://example.com" # Replace with actual target check_vulnerability(target)

影响范围

WWBN AVideo <= 26.0

防御指南

临时缓解措施
由于目前没有可用的补丁,建议立即通过Web服务器配置(如Nginx的location块或Apache的.htaccess)禁止对`/install/`目录的外部HTTP访问,或者直接从服务器文件系统中移除存在漏洞的`deleteSystemdPrivate.php`脚本文件。

参考链接

快速导航: 前沿安全 最新收录域名列表 最新威胁情报列表 最新网站排名列表 最新工具资源列表 最新CVE漏洞列表