CVE-2026-33351 — 神龙十问 AI 深度分析摘要

🚨 **本质**：服务端请求伪造 (SSRF)。 💥 **后果**：攻击者可利用未验证的 `$_REQUEST[webSiteRootURL]` 参数，构造恶意 URL 让服务器发起请求，导致**信息泄露**或**内网探测**。

🔍 **CWE**：CWE-918 (SSRF)。 📍 **缺陷点**：`plugin/Live/standAloneFiles/saveDVR.json.php` 文件。 ⚠️ **原因**：直接使用了用户输入的 `webSiteRootURL` 构造服务器端请求，缺乏校验。

📦 **产品**：WWBN AVideo (PHP视频平台)。 📅 **版本**：**26.0 之前**的所有版本。 🏢 **厂商**：WWBN。

🕵️ **黑客能力**： 1. **读取数据**：访问内部服务或敏感文件 (C:H)。 2. **篡改数据**：可能影响服务器响应 (I:H)。 3. **内网扫描**：探测内部网络拓扑。 🚫 **注意**：目前未提及直接执行代码或拒绝服务 (A:N)。

🚪 **利用门槛**：**极低**。 🔓 **认证**：**无需认证** (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 🧠 **复杂度**：**低** (AC:L)。 👤 **交互**：**无需用户交互** (UI:N)。

📜 **PoC**：漏洞数据中 **pocs 为空**，暂无公开现成 Exp。 🌍 **在野**：无相关在野利用报告。 🔗 **参考**：GitHub Advisory 和 Commit 链接已提供，但未见直接利用代码。

🔎 **自查特征**： 1. 检查是否存在 `plugin/Live/standAloneFiles/saveDVR.json.php` 文件。 2. 扫描 HTTP 请求中是否包含可疑的 `webSiteRootURL` 参数。 3. 使用 SSRF 扫描工具测试该接口。

🛡️ **官方修复**：**已修复**。 📌 **补丁**：GitHub Commit `d0c54960389eeb85e76caed5a257ae90e6a739f2`。 🔗 **详情**：见 GitHub Security Advisory `GHSA-5f7v-4f6g-74rj`。

⚠️ **临时规避**： 1. **升级**：尽快升级至 **26.0 或更高版本**。 2. **WAF**：配置 WAF 拦截包含 `webSiteRootURL` 参数的异常请求。 3. **权限**：限制服务器出站网络连接，防止 SSRF 外联。

🔥 **优先级**：**高**。 📊 **CVSS**：**9.8** (Critical)。 💡 **建议**：由于**无需认证**且**远程可利用**，危害极大，建议**立即**安排升级或实施缓解措施。