概要
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0まで（26.0を含む）において、RTMPの`on_publish`コールバック（`plugin/Live/on_publish.php`）は認証なしでアクセス可能です。`$_POST[‘name’]`パラメータ（ストリームキー）は、`LiveTransmitionHistory::getLatest()`と`LiveTransmition::keyExists()`の2箇所で、パラメータ化バインディングやエスケープ処理を行わずに直接SQLクエリに挿入されます。未認証の攻撃者は時間差盲目SQLインジェクションを悪用して、ユーザーパスワードハッシュ、メールアドレスおよびその他の機密データを含むデータベースの全内容を抽出可能です。修正はコミットaf59eade82de645b20183cc3d74467a7eac76549に含まれています。
技術情報
- 公開日: 2026-03-27T16:22:46+09:00
- 更新日: 2026-03-27T16:22:46+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。
