JVNDB-2026-008474

WWBNのAVideoにおけるリソースの安全ではないデフォルト値への初期化に関する脆弱性

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン25.0以下では、公式のDocker展開ファイル（docker-compose.yml、env.example）に管理者パスワードが「password」に設定された状態で提供されており、インストール時に自動的に管理者アカウントの初期パスワードとして使用されます。したがって、SYSTEM_ADMIN_PASSWORDを上書きしないまま展開されたインスタンスは、即座に簡単に管理者権限を乗っ取られる脆弱性を有しています。補完的な対策は存在せず、初回ログイン時のパスワード変更の強制、複雑さの検証、デフォルトパスワードの検出が行われておらず、パスワードは脆弱なMD5でハッシュ化されています。管理者権限を完全に取得すると、ユーザーデータが露出し、コンテンツが改ざんされ、ファイルアップロードやプラグイン管理を通じてリモートコード実行が可能となります。同様に不安全なデフォルト設定はデータベースの認証情報（avideo/avideo）にも及んでおり、リスクをさらに高めています。攻撃が成立するのは、オペレーターがデフォルト設定を変更しなかった場合であり、クイックスタート、デモ、および自動展開でこの状況が起こりやすいです。この問題はバージョン26.0で修正されました。

WWBN

• AVideo 26.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Predictable default admin credential in official Docker deployment path  Advisory  WWBN/AVideo  GitHub

1. リソースの安全ではないデフォルト値への初期化(CWE-1188) [その他]

1. CVE-2026-33037

1. National Vulnerability Database (NVD) : CVE-2026-33037
2. 関連文書 : fix: improve security by enforcing strong admin password and logging …  WWBN/AVideo@2075fac  GitHub

• [2026年03月25日]
    掲載