JVNDB-2026-017785

WWBNのAVideoにおける複数の脆弱性

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0およびそれ以前には、2FAトグルにクロスサイトリクエストフォージェリ（CSRF）脆弱性があります。plugin/LoginControl/set.json.phpはPOSTタイプ=set2FA value=falseを受け取り、セッション認証されたユーザーに対しLoginControl::setUser2FA(User::getId(), false)を呼び出して処理を完了します。この処理にはforbidIfIsUntrustedRequest()の呼び出しがなく、isTokenValid()の検証もなく、X-CSRF-TokenやSameSiteポリシーの適用もなく、再認証ステップもありません。被害者がAVideoダッシュボードにログインしている状態で、クロスオリジンのページに訪れると、隠しフォーム（または資格情報を持たないfetchの"omit"オプションを利用）でPOSTリクエストを発行し、一回のリクエストで被害者の2FAを無効化してしまいます。

WWBN

• AVideo 29.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : plugin/LoginControl/set.json.php: 2FA toggle endpoint has no CSRF protection, letting an attacker page silently disable a logged-in victim's 2FA  Advisory  WWBN/AVideo  GitHub

1. 重要な機能に対する認証の欠如(CWE-306) [その他]
2. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-45610

1. National Vulnerability Database (NVD) : CVE-2026-45610

• [2026年06月04日]
    掲載