JVNDB-2026-009579

WWBNのAVideoにおけるSQL インジェクションの脆弱性

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0まで（含む）において、`Live_schedule::keyExists()`メソッドはストリームキーを直接クエリ文字列に挿入してSQLクエリを構築しており、パラメータ化がされていません。このメソッドは、最初のパラメータ化された検索で結果が得られなかった場合に`LiveTransmition::keyExists()`からフォールバックとして呼び出されます。呼び出し元関数は自身の検索にパラメータ化クエリを正しく使用していますが、`Live_schedule::keyExists()`へのフォールバック経路でこの保護が完全に無効化されます。この脆弱性は、リマインダー機能の`live_schedule_id`パラメータを介したSQLインジェクションを扱うGHSA-pvw4-p2jm-chjmとは異なります。本調査はRTMP配信認証時に使用されるストリームキー検索経路を対象としています。公開時点で、修正済みのバージョンは存在しません。

WWBN

• AVideo 26.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQL Injection in Live_schedule::keyExists() via Unparameterized Stream Key  Advisory  WWBN/AVideo  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-34374

1. National Vulnerability Database (NVD) : CVE-2026-34374

• [2026年04月02日]
    掲載