何が起きたか
CVE-2026-124424（CVSS 7.1、CWE-22） — WWBN/AVideo plugin/AI/receiveAsync.json.phpのパストラバーサル。このエンドポイントはbypassSameDomainCheckを設定し、セッション/所有権検証を行いません。type=translation分岐では、ユーザー制御のresponse[lang]がサニタイズされずにgetVTTPaths()に渡されるため、lang内のトラバーサルペイロードが、Webサーバーユーザーが書き込み可能な任意の*.vttパス（他のユーザーの字幕ファイルやWebルートを含む）に攻撃者制御の内容を書き込みます。直接のRCEではありません（.vttサフィックスが強制され実行されない）が、字幕コンテンツサーフェスに対する完全な整合性制御と、上書きによるDoSを引き起こします。
なぜ重要か
低権限で有効期限なしのAIトークンのみで任意のファイル書き込みを許可するAIコンポーネントのパストラバーサル — AI字幕サーフェスに対する整合性/コンテンツ植え付けの露出です。リーチは限定的ですが、有効期限なしのトークンモデルが露出を増幅します（以前のまたは漏洩したトークンが引き続き使用可能）ため、カタログ化する価値があります。
攻撃経路
有効なAIトークンとトラバーサルシーケンスを含む細工されたresponse[lang]を使用したplugin/AI/receiveAsync.json.phpへの翻訳リクエスト。langはサニタイズされずにAi_transcribe_responses::getVTTPaths()に渡されるため、攻撃者制御の内容がWebサーバーユーザーが書き込み可能な任意の*.vttパスに書き込まれます — Webルートへの植え付け（HTTP経由で配信）やツリー外への書き込みを含む — セッションや所有権チェックなしで、bypassSameDomainCheckが設定されています。
影響を受けるシステム
WWBN/AVideo master（plugin/AI/receiveAsync.json.php）、AIプラグイン有効
緩和策
getVTTPaths()の前にlangをホワイトリスト（例: /^[a-z0-9_-]{2,8}$/i）で検証するか、getVTTPaths()が/、\、..、NULを含む任意のlangを拒否するようにし、AIトークンの有効期限を強制し、トークンをリクエスタとビデオ所有者にバインドしてください。アドバイザリGHSA-v64v-r7qm-w5x4を参照してください。