무슨 일이 있었나
CVE-2026-124424 (CVSS 7.1, CWE-22) — WWBN/AVideo plugin/AI/receiveAsync.json.php에서 경로 탐색. 이 엔드포인트는 bypassSameDomainCheck를 설정하고 세션/소유권 검증을 수행하지 않는다. type=translation 분기에서 사용자 통제 response[lang]가 검증 없이 getVTTPaths()에 전달되므로, lang의 탐색 페이로드가 웹 서버 사용자가 쓸 수 있는 모든 *.vtt 경로에 공격자 통제 내용을 작성한다. 여기에는 다른 사용자의 자막 파일과 웹루트가 포함된다. 직접적인 RCE는 아니다(.vtt 접미사가 강제되고 실행되지 않음). 그러나 자막 콘텐츠 표면에 대한 완전한 무결성 제어와 덮어쓰기를 통한 DoS가 가능하다.
왜 중요한가
낮은 권한이고 만료되지 않는 AI 토큰만으로 임의 파일 쓰기를 허용하는 AI 컴포넌트 경로 탐색 — AI 자막 표면에 대한 무결성/콘텐츠 심기 노출이다. 범위는 한정적이지만, 무제한이고 만료되지 않는 토큰 모델이 노출을 증폭시킨다(이전 또는 유출된 토큰이 계속 사용 가능). 이것이 등록할 가치가 있는 이유다.
공격 경로
유효한 AI 토큰과 탐색 시퀀스를 포함한 조작된 response[lang]를 사용하여 plugin/AI/receiveAsync.json.php에 번역 요청을 보낸다. lang이 검증 없이 Ai_transcribe_responses::getVTTPaths()에 전달되어, 공격자 통제 내용이 웹 서버 사용자가 쓸 수 있는 모든 *.vtt 경로에 작성된다 — 웹루트 심기(HTTP로 서빙됨) 및 트리 밖 쓰기 포함 — 세션 또는 소유권 검사 없이 bypassSameDomainCheck가 설정된 상태다.
영향받는 시스템
WWBN/AVideo master (plugin/AI/receiveAsync.json.php), AI 플러그인 활성화됨
완화 방안
getVTTPaths() 전에 lang을 화이트리스트(예: /^[a-z0-9_-]{2,8}$/i)로 검증하거나, getVTTPaths가 /, \, .. 또는 NUL을 포함한 모든 lang을 거부하도록 하라. AI 토큰 만료를 적용하고 토큰을 요청자 및 비디오 소유자에 바인딩하라. 권고 GHSA-v64v-r7qm-w5x4를 참조하라.