AVideo-Encoder 發現未授權全回應伺服器端請求偽造漏洞（CVE-2026-61572）
CVE-2026-61572 - AVideo-Encoder: unauthenticated full-response server-side request forgery
AVideo-Encoder 於 2026 年 10 月 28 日公佈的 CVE-2026-61572，揭露其未授權全回應伺服器端請求偽造（SSRF）漏洞，可讓攻擊者讀取內部網路資訊與雲端例項憑證。
此漏洞可使未授權攻擊者讀取內部網路資訊與雲端例項憑證，讀者可評估對現有部署的風險與修補需求，並採取即時修補措施。
譯文尚未完整，完整內容請切換至原文。
AVideo 是一個影片分享平臺。在 8.1.0 之前的初步修復嘗試中，`objects/functions.php` 中的 `url_get_contents` 只經過 `FILTER_VALIDATE_URL` 語法驗證後，允許呼叫者控制目的地，且未拒絕私人、迴環或連結本地地址，並且關閉了 TLS 伺服器端驗證。`Login::isLogged` 會使用攻擊者可設定的 `encoder_aVideoURL` Cookie 以及任意非空的 `encoder_user` 與 `encoder_pass` Cookie 重新認證，而 `Login::run` 則將原始擷取到的內容存入 `result`。未經認證的 `objects/login.json.php` 端點會回傳該 session 物件，允許透過提供的 `siteURL` 進行完整回應外流；其 `Streamer::isURLAllowed` 門檻在運營者允許清單為空（預設）時允許所有站點。未經認證的遠端攻擊者可以閱讀內部 HTTP 與 HTTPS 回應，包括雲端例項元資料憑證，並能存取內部 TCP 服務。另一個在認證前的 FTP 變體位於 `view/youtubeDl.json.php`，將 ftp `videoURL` 路由至 `FTPDownloader`；`objects/FTPDownloader.php` 中的 `parseFtpUrl` 會接受其 host 與 port 以進行 `ftp_connect`。這也允許對內部 FTP 服務的請求。未受信任的自簽 HTTPS 憑證會被接受，且不需要任何帳號或運營者互動。版本 8.1.0 包含初步修復，移除原始回應反射並加入目的地檢查，但對私人網路的豁免與登入 TLS 驗證的預設設定，仍未完全解決上述內部網路與 TLS 變體的問題。
影響
受影響產品
以下產品受到 CVE-2026-61572 漏洞的影響。
即使 cvefeed.io 知道受影響產品的精確版本，相關資訊仍未在下表中顯示。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Wwbn | avideo-encoder |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重性。 我們收集並顯示各來源為每個 CVE 所提供的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] |
更新 AVideo 以修復 SSRF 漏洞，透過驗證 URL、啟用 TLS 驗證並正確配置網路存取控制。
- 更新 AVideo 至最新安全版本。
- 將所有外部 URL 與嚴格的允許清單比對。
- 啟用並強制執行 TLS 伺服器端驗證。
- 設定網路存取控制以限制內部存取。
在此，您將找到一份精心挑選的外部連結清單，提供與CVE-2026-61572相關的深入資訊、實用解決方案和有價值的工具。
雖然 CVE 會識別具體的漏洞例項，CWE 則將常見缺陷或弱點分類，可能導致漏洞。CVE-2026-61572 與以下 CWEs 相關：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手為利用CVE-2026-61572弱點所採用的常見特徵和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表收錄了已在 GitHub 上發布的公開漏洞與概念驗證（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為文章中提及CVE-2026-61572漏洞的新聞。
下表列出了CVE-2026-61572漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響漏洞嚴重性、可利用性或其他特性的最新變更。
-
新 CVE 已收到 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 描述 AVideo 是一個影片分享平臺。在 8.1.0 的初始修復嘗試之前，`url_get_contents` 在 `objects/functions.php` 中只經過 `FILTER_VALIDATE_URL` 語法驗證，接受呼叫者控制的目的地，且不會拒絕私有、迴環或連結本地位址，並且停用 TLS 伺服器驗證。`Login::isLogged` 會使用攻擊者可設定的 `encoder_aVideoURL` Cookie，以及任意非空的 `encoder_user` 和 `encoder_pass` Cookie 重新驗證，`Login::run` 則將原始抓取的內容存入 `result`。未經授權的 `objects/login.json.php` 端點會回傳該 session 物件，允許透過提供的 `siteURL` 進行完整回應外洩；其 `Streamer::isURLAllowed` 門檻在運營者允許清單為空（預設）時允許所有網站。未經授權的遠端攻擊者可以閱讀內部 HTTP 與 HTTPS 回應，包括雲端例項元資料憑證，並存取內部 TCP 服務。另一個未授權前的 FTP 變體位於 `view/youtubeDl.json.php`，將 ftp `videoURL` 路由至 `FTPDownloader`；`parseFtpUrl` 在 `objects/FTPDownloader.php` 中接受其主機與埠號用於 `ftp_connect`。這也允許對內部 FTP 服務傳送請求。未受信任的自簽 HTTPS 憑證被接受，且不需要帳號或運營者互動。版本 8.1.0 包含初始修復嘗試，移除原始回應反射並加入目的地檢查，但私有網路例外與登入 TLS 驗證預設仍未完全修復上述內部網路與 TLS 變體。 已新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L 已新增 CWE CWE-918 已新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61572.json">CVE-2026-61572</a> 已新增 參考 https://github.com/WWBN/AVideo-Encoder/commit/60430ee18f669798485e81276a1fb6d26b06eb9a 已新增 參考 https://github.com/WWBN/AVideo-Encoder/releases/tag/v8.1.0 已新增 參考 https://github.com/WWBN/AVideo-Encoder/security/advisories/GHSA-cvhm-j9cp-8w59
EPSS 是對未來 30 天內觀察到利用活動機率的每日估算。以下圖表顯示此漏洞的 EPSS 分數歷史。