概要
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前では、AVideoのCreatePluginテンプレートであるlist.json.phpに認証および認可のチェックが含まれていません。付随するテンプレートであるadd.json.phpおよびdelete.json.phpは管理者権限を必要としますが、list.json.phpテンプレートはこの保護機能がありませんでした。CreatePluginコードジェネレーターを使用するすべてのプラグインはこの欠陥を引き継いでおり、プラットフォーム全体で21の未認証のデータリスティングエンドポイントが存在しています。これらのエンドポイントはユーザーの個人識別情報（PII）、支払い取引ログ、IPアドレス、ユーザーエージェント、および内部システム記録を含む機密データを公開しています。公開時点では、公開されている修正パッチは存在していません。
技術情報
- 公開日: 2026-04-03T11:14:06+09:00
- 更新日: 2026-04-03T11:14:06+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。
