CVE-2026-61575 AVideoのHTMLインジェクション脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
AVideoのバージョン8.1.0以前において、`view/queue.php`がユーザー制御の`fileURI`を`pathinfo`で処理し、`setTitle`によって`encoder_queue.title`にファイル名を保存する際のサニタイズ不足が原因で、悪意のあるHTMLタイトルが注入される可能性があります。このタイトルは管理者や操作者向けのビューで実行され、セッションデータや資格情報を読み取る攻撃が可能になります。影響を受けるのは、`view/index.php`や`queue.json.php`を処理するPHPコードです。確認時は、`fileURI`の入力検証や`setTitle`のサニタイズ処理が適切に実装されているかを確認し、8.1.0以降へのアップグレードを検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、もしもあなたがこの脆弱性について語るなら、なぜソフトウェアの設計者は「利便性」と「安全性」のバランスを常に問うべきなのでしょうか？
それはですね、ソクラテス。まず、`view/queue.php`と`queue.json.php`のコードで、`fileURI`が`pathinfo`で処理される際、`setTitle`が適切にサニタイズされているかを確認すべきです。たとえば、`fileURI`が`objects/security.php`のフィルターリストに含まれていない場合、これは大きなヒントです。
なるほど。では、管理者が「アップグレードを検討する」際に、何を優先順位に置くべきでしょう？
PHPのバージョンが8.1.0以降に移行できているか、パッケージ管理システムで更新履歴を確認する必要があります。また、変更管理の文書にこの修正が記載されているか、ベンダーのリリースノートを参照するのも重要です。
監視の観点では、どうすればいいでしょうか？
`encoder_queue.title`にHTMLが保存されているかを定期的にログでチェックし、異常なタイトルが表示されるケースを監視しましょう。さらに、`view/index.php`のBootgridテーブルが`row.title`をHTMLとしてレンダリングしている部分を、セキュリティ監査の対象に含めるべきです。
CVSSが4.7と中程度ですが、なぜ「深刻度」の判断は慎重でなければならないのでしょうか？
ソクラテス、これはですね…もし管理者がアップグレードを忘れると、自らのセッションデータが盗まれる可能性があるからです。でも、軽く考えてはいけませんよ。ベンダーの情報確認と、パッチ適用のスケジュールを厳密に管理する必要があります。
では、哲学的に言えることは？
「安全なシステムは、常に疑問を抱くことで成り立つ」…というわけで、今日はこれで。でも、8.1.0にアップグレード忘れたら、私の責任じゃないですぞ！
関連キーワード: php