WWBN/AVideo AD_Server Missing Authorization Vulnerability (GHSA-cwtf-4qpx-4qpx)

漏洞总结：WWBN/AVideo 授权缺失漏洞 漏洞概述 漏洞编号：GHSA-cwtf-4qpx-4qpx 严重程度：中危（CVSS 6.5/10） 漏洞类型：授权缺失（Missing Authorization） 核心问题： 接口在无认证、无 CSRF 防护的情况下，接受客户端传入的 参数，并调用 方法，从而将视频观看记录（ ）写入数据库，并触发 钱包的积分/余额变动。 触发条件：默认配置 为 时，游客（Guest） 即可触发；若设为 ，则需已登录用户。 影响范围 受影响版本：commit 及更早包含该 / 代码的版本。 影响对象： - 任何已登录用户可通过重复发送 请求，反复为视频所有者的 增加积分/余额。 - 视频所有者可借此路径从第二账户获取积分。 - 积分可通过 的转账、付费内容等途径消耗。 - 无广告位被消耗。 CVSS 向量： （6.5 Medium） CWE：CWE-345（HTTP 请求中的 CSRF）、CWE-862（授权缺失）。 修复方案 修复版本：截至报告时尚未修复（Unfixed at time of reporting）。 修复 commit： （commit ）。 修复思路： 1. 在 中增加认证与 CSRF 防护。 2. 服务端在调用 前，应要求服务端播放回执（signed VAST callback），不接受来自浏览器的 作为播放证明。 3. 将 默认值设为 ，限制仅已登录用户可触发奖励。 POC 代码 / 利用代码 1. 漏洞核心代码（log.php） 2. 奖励逻辑代码（VastCampaignLogs::save） 3. POC 请求示例 A. 游客写入（默认 onlyRewardLoggedUsers=false）： - 发送上述 POST 请求，Alice 的钱包余额不变（即游客可触发，但钱包变动需结合具体配置）。 B. 已登录用户（mint）： - 以 bob 身份发送相同请求，每次响应返回 ， 与 ，Alice 钱包余额 +13.76。 C. 与 XSS 报告的区分： - XSS 利用的是 的 HTML 注入（admin_reports.php），本漏洞利用的是 触发播放记录与钱包积分变动，二者路径不同。

目標達成すべての支援者に感謝 — 100%達成しました！

WWBN/AVideo AD_Server Missing Authorization Vulnerability (GHSA-cwtf-4qpx-4qpx)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

WWBN/AVideo AD_Server Missing Authorization Vulnerability (GHSA-cwtf-4qpx-4qpx)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！