WWBNのAVideoにおけるクロスサイトリクエストフォージェリの脆弱性
| Title |
WWBNのAVideoにおけるクロスサイトリクエストフォージェリの脆弱性
|
| Summary |
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0およびそれ以前のバージョンでは、`objects/commentDelete.json.php`がコメントを削除する状態を変更するJSONエンドポイントですが、CSRF検証を行っていません。`forbidIfIsUntrustedRequest()`を呼び出さず、CSRFやグローバルトークンの確認もなく、`Origin`や`Referer`の検証も行っていません。AVideoは意図的に`session.cookie_samesite=None`を設定しており（クロスオリジンの埋め込みプレイヤーをサポートするためです）、攻撃者が管理する任意のページからのクロスサイトリクエストは自動的に被害者の`PHPSESSID`を送信します。コメントを削除する権限を持つ認証済みの被害者（サイトモデレーター、ビデオ所有者、コメント作者）は、攻撃者のページを訪問するだけで大量のコメントを削除させられる可能性があります。修正はコミット184f36b1896f3364f864f17c1acca3dd8df3af27に含まれています。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアの一部が停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 21, 2026, midnight |
| Registration Date |
April 27, 2026, 11:20 a.m. |
| Last Update |
April 27, 2026, 11:20 a.m. |
|
CVSS3.0 : 警告
|
| Score |
5.4
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L |
Affected System
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月27日]
掲載 |
April 27, 2026, 11:20 a.m. |
NVD Vulnerability Information
CVE-2026-40929
| Summary |
WWBN AVideo is an open source video platform. In versions 29.0 and prior, `objects/commentDelete.json.php` is a state-mutating JSON endpoint that deletes comments but performs no CSRF validation. It does not call `forbidIfIsUntrustedRequest()`, does not verify a CSRF/global token, and does not check `Origin`/`Referer`. Because AVideo intentionally sets `session.cookie_samesite=None` (to support cross-origin embed players), a cross-site request from any attacker-controlled page automatically carries the victim's `PHPSESSID`. Any authenticated victim who has authority to delete one or more comments (site moderators, video owners, and comment authors) can be tricked into deleting comments en masse simply by visiting an attacker page. Commit 184f36b1896f3364f864f17c1acca3dd8df3af27 contains a fix.
|
| Publication Date |
April 22, 2026, 8:16 a.m. |
| Registration Date |
April 25, 2026, 4:04 a.m. |
| Last Update |
April 24, 2026, 12:48 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:wwbn:avideo:*:*:*:*:*:*:*:* |
|
29.0 |
|
|
Related information, measures and tools
Common Vulnerabilities List