„`html
Zusammenfassung
WWBN AVideo bis einschließlich Commit 9c39d8c8 weist eine Cross-Site Request Forgery (CSRF)-Schwachstelle im Endpoint releaseVideoNow.json.php auf. Die Sicherheitslücke ermöglicht es Angreifern, Videos ohne ordnungsgemäße Authentifizierung freizugeben und damit Zugriffskontrollmechanismen zu umgehen.
Betroffene Systeme
Die Schwachstelle betrifft WWBN AVideo-Installationen bis Commit 9c39d8c8. Besonders kritisch sind Systeme, die:
- Embargo-Funktionen zur verzögerten Videofreigabe nutzen
- Administrator-Sitzungen aktiv haben
- Ohne zusätzliche CSRF-Token-Validierung konfiguriert sind
Technische Details
Der verwundbare Endpoint releaseVideoNow.json.php akzeptiert GET-Requests ohne CSRF-Token-Überprüfung. Angreifer können eine manipulierte URL mit dem Parameter videos_id konstruieren und diese an einen angemeldeten Administrator senden. Bei Besuch der URL wird das Video automatisch freigegeben.
Angriffsablauf:
- Attacker erstellt bösartige URL:
example.com/releaseVideoNow.json.php?videos_id=X - URL wird in Phishing-Mail oder bösartiger Webseite eingebettet
- Admin-Benutzer mit aktiver Session klickt Link
- Browser sendet automatisch Admin-Session-Cookie
- Video wird permanent freigegeben
Empfohlene Maßnahmen
- Sofortmaßnahmen: GET-Requests zum Endpoint deaktivieren, nur POST akzeptieren
- CSRF-Token implementieren: Token-Validierung in releaseVideoNow.json.php aktivieren
- SameSite-Cookie-Flag: SameSite=Strict für Session-Cookies setzen
- Content Security Policy: CSP-Header zur Begegrenzung von Cross-Origin-Requests
- Admin-Benachrichtigungen: Automatische Alerts bei Video-Statusänderungen
Bewertung
CVSS 7.1 (High) – Die Schwachstelle ermöglicht unbefugte Änderungen von Video-Zugriffskontrollrichtlinien durch authentifizierte Benutzer. Da kein Patch verfügbar ist, werden Workarounds auf Anwendungsebene notwendig.
„`