CVE-2026-89148: открытый редирект в AVideo через Referer в playlistSort.php

Исследователи сообщили об уязвимости открытого редиректа в популярной платформе для видеовещания WWBN AVideo. Проблема затрагивает установки вплоть до коммита c3edcc274c389816d434acadac07ee78eaf330c1. Исправленная версия на момент публикации CVE недоступна, поэтому администраторам следует применять компенсирующие меры.

Подробности

Уязвимость CVE-2026-89148 локализована в скрипте objects/playlistSort.php. Ключевая причина — архитектурная особенность AVideo: автоматическая защита от CSRF (autoCSRFGuard()/forbidIfIsUntrustedRequest()) срабатывает только для скриптов вида *.json.php. Поскольку playlistSort.php не соответствует этому шаблону, проверка доверенности запроса не выполняется. При наличии в запросе параметра sort скрипт формирует заголовок Location, подставляя в него необработанное значение $_SERVER['HTTP_REFERER'] без вызова функции isSafeRedirectURL(). В результате удалённый неаутентифицированный атакующий может побудить авторизованного пользователя, имеющего права на управление целевым плейлистом, отправить кросс-доменный POST-запрос со специально сформированным значением Referer. Это приводит к двум последствиям: во-первых, изменяется порядок элементов в плейлисте жертвы (нарушение целостности данных), во-вторых, браузер жертвы перенаправляется с доверенного URL AVideo на контролируемый злоумышленником сайт, что открывает возможности для фишинга и кражи учётных данных или сессионных токенов. Уязвимости присвоен базовый балл CVSS 5.1 (MEDIUM). Атака требует взаимодействия с пользователем (перехода по ссылке или загрузки страницы), но не требует аутентификации со стороны атакующего и не требует знания учётных данных. Вектор сетевой, сложность низкая, влияние на конфиденциальность и целостность — частичное.

Что делать

Официального патча для CVE-2026-89148 пока нет, поэтому первоочередное значение приобретают митигации:

• Отслеживайте обновления в репозитории WWBN AVideo и установите исправление сразу после его выпуска.
• До выхода патча рассмотрите возможность ограничения доступа к objects/playlistSort.php на уровне веб-сервера: разрешите вызовы только с доверенных источников или для аутентифицированных сессий.
• Ограничьте права на управление плейлистами: чем меньше пользователей имеют такие привилегии, тем уже поверхность атаки.
• Настройте Content Security Policy и проверку заголовков Referer на прокси/WAF, чтобы блокировать редиректы на внешние домены.
• Проведите аудит журналов веб-сервера на предмет POST-запросов к playlistSort.php с подозрительными значениями Referer.
• Информируйте пользователей о рисках перехода по незнакомым ссылкам, ведущим на страницы AVideo.

Если скрипт не используется в вашей конфигурации, его можно временно отключить или заблокировать полностью — это устранит вектор эксплуатации. Итог: CVE-2026-89148 — умеренно опасная уязвимость открытого редиректа в AVideo, сочетающая CSRF-подобное воздействие на плейлисты и перенаправление на фишинговые сайты. До выпуска официального патча критически важно применить компенсирующие меры и усилить мониторинг обращений к objects/playlistSort.php.

Источник: CVE Project (cvelistV5)