JVNDB-2026-009754

WWBNのAVideoにおけるアクセス制御に関する脆弱性

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンにおいて、AVideoのインストールスクリプトinstall/deleteSystemdPrivate.phpにはCLI専用のアクセスガードにPHPの演算子優先順位のバグが存在します。このスクリプトはコマンドラインからのみ実行されることを目的としていますが、ガード条件の!php_sapi_name() === 'cli'はPHPの演算子優先順位の解釈により真にならず、!（論理NOT）演算子が===（厳密比較）より優先されるため、この式は常に偽と評価されます。そのため、die()ステートメントは決して実行されません。その結果、このスクリプトには認証なしでHTTP経由でアクセスできる問題があります。このスクリプトはサーバーの一時ディレクトリからファイルを削除し、レスポンス内で一時ディレクトリの内容を開示してしまいます。公開時点では、利用可能なパッチは存在しません。

WWBN

• AVideo 26.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated File Deletion via PHP Operator Precedence Bug in CLI Guard  Advisory  WWBN/AVideo  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]

1. CVE-2026-34733

1. National Vulnerability Database (NVD) : CVE-2026-34733

• [2026年04月03日]
    掲載