概要
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンにおいて、AVideoのインストールスクリプトinstall/deleteSystemdPrivate.phpにはCLI専用のアクセスガードにPHPの演算子優先順位のバグが存在します。このスクリプトはコマンドラインからのみ実行されることを目的としていますが、ガード条件の!php_sapi_name() === ‘cli’はPHPの演算子優先順位の解釈により真にならず、!（論理NOT）演算子が===（厳密比較）より優先されるため、この式は常に偽と評価されます。そのため、die()ステートメントは決して実行されません。その結果、このスクリプトには認証なしでHTTP経由でアクセスできる問題があります。このスクリプトはサーバーの一時ディレクトリからファイルを削除し、レスポンス内で一時ディレクトリの内容を開示してしまいます。公開時点では、利用可能なパッチは存在しません。
技術情報
- 公開日: 2026-04-03T11:14:04+09:00
- 更新日: 2026-04-03T11:14:04+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。
