CVE-2026-40928WWBN AVideo 29.0及之前版本存在跨站请求伪造（CSRF）漏洞。受影响的系统未对`objects/`目录下的多个JSON端点实施反CSRF令牌验证或来源检查。攻击者可诱导已登录的受害者访问恶意页面，从而在受害者不知情的情况下执行操作，包括对评论进行点赞/踩、以受害者身份发表评论或在有权限的情况下删除类别资产。
该漏洞的核心原因在于WWBN AVideo在处理状态变更请求时缺乏CSRF防护机制。受影响的端点（如`comments_like.json.php`、`commentAddNew.json.php`等）通过`$_REQUEST`或`$_GET`直接接收参数并持久化更改，未校验`Origin`或`Referer`请求头，也未使用CSRF令牌。由于这些操作可以通过GET请求触发，攻击者可以构造包含`<img src="...">`标签的恶意HTML页面。当已登录的受害者的浏览器加载该页面时，会自动附带有效的Session Cookie向目标服务器发送请求。服务器验证会话有效后，执行攻击者指定的操作，导致非预期的状态更改。