Danielnetodotcom

AVideo هي منصة فيديو مفتوحة المصدر. تحتوي الطريقة `transferBalance()` الموجودة في الملف `plugin/YPTWallet/YPTWallet.php` على حالة تنافسية من نوع «وقت الفحص - وقت الاستخدام» (TOCTOU). تقوم هذه الطريقة بقراءة رصيد محفظة المرسل، والتحقق من كفاية الأموال باستخدام PHP، ثم كتابة الرصيد الجديد دون استخدام معاملات قاعدة البيانات أو قفل على مستوى الصفوف. يمكن للمهاجم الذي يمتلك عدة جلسات مصادقة أن يرسل طلبات تحويل متزامنة، حيث يقرأ كل منها نفس الرصيد الأولي. تجتاز هذه الطلبات فحص الرصيد بشكل مستقل، مما يؤدي إلى سيناريو يتم فيه خصم الرصيد من حساب المرسل مرة واحدة فقط، بينما يتلقى المستلم الأموال عدة مرات. الوظيفة المعرضة للخطر هي `transferBalance()`.

AVideo هي منصة لمشاركة مقاطع الفيديو. تحتوي الإصدارات الأقدم من 8.0 على ثغرة تتعلق بتزوير الطلبات من جانب الخادم (CWE-918) في نقاط نهاية الصور المصغرة العامة ’'getImage.php‘' و'’getImageMP4.php‘'. تقبل نقاط النهاية هذه معلمة GET من نوع `base64Url`، وتقوم بفك تشفيرها، ثم تمرر عنوان URL الناتج إلى ffmpeg كمصدر إدخال دون مصادقة. لم يتجاوز التحقق الأولي من صحة عنوان URL التأكد من صحته من الناحية النحوية وبدايته بـ http(s)://، وهو ما يعتبر غير كافٍ. يمكن للمهاجم تقديم عناوين URL مثل http://169.254.169.254/latest/meta-data/ (بيانات تعريف مثيل AWS/السحابة)، أو http://192.168.x.x/، أو http://127.0.0.1/ لجعل الخادم يصل إلى موارد الشبكة الداخلية. لا يتم إرجاع الاستجابة مباشرةً، ولكن يمكن استخدام الاختلافات في التوقيت وسجلات الأخطاء لاستنتاج النتائج.

AVideo هي منصة لمشاركة مقاطع الفيديو. تحتوي الإصدارات الأقدم من 8.0 على ثغرة حقن SQL في دالة `getSqlFromPost()` في ملف Object.php. تُستخدم مفاتيح المصفوفة `$ POST[’sort‘]` مباشرةً كمُعرفات أعمدة SQL داخل جملة ORDER BY. وعلى الرغم من استخدام دالة `real escape string()`، إلا أنها تقوم فقط بتحويل الأحرف في سياق السلسلة ولا تحمي معرفات SQL، مما يجعلها غير فعالة. تنبع المشكلة من الاستخدام المباشر للمدخلات غير المُعقمة في بناء استعلام SQL. ويُعد المعلمة `sort` داخل طلب `$ POST` معرضة للخطر بشكل خاص.

تفتقر دالة الاستدعاء RTMP `on publish` الموجودة في ملف `plugin/Live/on publish.php` إلى المصادقة. يتم دمج المعلمة `$ POST[’name‘]`، التي تمثل مفتاح البث، مباشرةً في استعلامات SQL داخل الدالتين `LiveTransmitionHistory::getLatest()` و`LiveTransmition::keyExists()` دون تنقية مناسبة أو ربط معلمي. وهذا يسمح لمهاجم غير مصدق عليه بتنفيذ حقن SQL أعمى قائم على الوقت، مما قد يؤدي إلى استخراج جميع محتويات قاعدة البيانات، بما في ذلك تجزئات كلمات مرور المستخدمين وعناوين البريد الإلكتروني والبيانات الحساسة الأخرى. التطهير غير الكافي في السطر 117 من ملف `plugin/Live/on publish.php` يزيل فقط الأحرف ’&‘ و ’=‘. ولا توفر الدالة `sqlDAL::readSql()` الحماية عند استدعائها بدون معلمات التنسيق/القيم، حيث إنها تقوم بتجميع جملة SQL المحقونة مباشرةً. ويمكن استغلال الثغرة من خلال طلبات `curl` مصممة خصيصًا، بالاستفادة من نقاط الحقن لاستخراج البيانات حرفًا حرفًا. يمكن للمهاجم أن يقوم بالمصادقة كأي مستخدم في نظام البث باستخدام تجزئات كلمات المرور المستخرجة.

يحتوي AVideo، وهو منصة فيديو مفتوحة المصدر، على ثغرة من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المنعكسة. يمكن لمهاجم غير معتمد تنفيذ تعليمات جافا سكريبت تعسفية في متصفح الضحية من خلال التلاعب بمعلمة URL. تتم معالجة المدخلات التي يدخلها المستخدم من معلمة URL بواسطة دالة `json encode()` في PHP، ثم يتم عرضها داخل دالة جافا سكريبت باستخدام `innerHTML`، مما يتجاوز عملية الترميز ويسمح بتنفيذ البرنامج النصي بالكامل. السبب الجذري هو الجمع بين مدخلات المستخدم غير المُعالجة التي يتم تمريرها إلى جافا سكريبت واستخدام `innerHTML` الذي يعرض علامات HTML كـ DOM قابل للتنفيذ. يمكن أن يؤدي الهجوم إلى اختطاف الجلسة، والاستيلاء على الحساب، والتصيد الاحتيالي لبيانات الاعتماد من خلال نماذج تسجيل الدخول المُحقنة، وتوزيع الحمولة ذاتية الانتشار، واختراق الحساب الإداري. تنبع الثغرة الأمنية من عدم وجود تنقية مناسبة للمدخلات وأمن غير كافٍ لملفات تعريف الارتباط، وتحديدًا غياب علامة HttpOnly في ملف تعريف الارتباط PHPSESSID. يقع الكود المعرض للخطر في `view/videoNotFound.php` و`view/js/script.js`.

Name of the Vulnerable Software and Affected Versions: AVideo Platform versions prior to 10.2 Description: The issue allows an ordinary user to bypass authorization and gain admin control. This is resolved by removing the pass hash and the recoverPass hash from all queries. Recommendations: For versions prior to 10.2, update to version 10.2 to resolve the issue. As a temporary workaround, consider restricting access to admin controls until the update can be applied.