AVideoのSNSログインに認証回避の脆弱性　修正のコードへ上げる

動画配信の基盤をオープンソースで出すAVideoの開発元WWBNは11月10日（日本時間）、SNSのアカウントでのログインに認証回避の脆弱性があるとするセキュリティアドバイザリを出した。米国の脆弱性データベースNVDは11月11日（日本時間）に「CVE-2026-126542」として載せた。6.5から29.7.1までが当たり、認証なしで管理者を含む他人のアカウントに入られ得る。修正はコードに入ったが、修正を含むリリースはまだ無い。

SNSログインを使う6.5以降が当たる

アドバイザリとNVDの記録によると、影響は次のとおりだ。

• 対象: AVideoの6.5から29.7.1までの全てのリリースと、修正前のmaster
• 条件: 同梱のログインのプラグイン「LoginTwitter」「LoginFacebook」「LoginYahoo」「LoginLinkedin」のどれかを有効にし、各サービスのアプリのIDと秘密の値を入れている
• 深刻度: CVSS 3.1で9.8（NVDに評価を出したVulnCheckの値）、CVSS 4.0で9.3。認証も利用者の操作も要らない
• 中身: SNSの側がメールアドレスを渡さない時、表示名を手がかりに既存のアカウントへ結び付けてしまい、パスワードを確かめない
• 範囲: 通常のログインと、スマホのアプリ向けのログインの両方

アドバイザリは、管理者のアカウントを取られると、プラグインを上げる機能を通じてサーバーの上で任意のコードを動かされ得るとしている。

AVideoは、自前のサーバーに置いて動画の投稿や配信、ライブ配信のサイトを作るためのPHPの基盤だ。問題の処理は、2017年12月に足された「メールアドレスが無い時は表示名を使う」仕組みにさかのぼる。このため、6.5以降の全てのリリースが当たる。アドバイザリは報告者としてAlpetGexha氏の名を挙げ、NVDに評価を出したVulnCheckも11月10日付けで自社のアドバイザリを出した。

4つのプラグインの設定を見る

まず、管理画面のプラグインの一覧で、4つのログインのプラグインが有効かを確かめたい。どれも無効なら、アドバイザリの前提に当たらない。自社で動かしていなくても、委託先や関連会社が動画のサイトにAVideoを使っていないかを確かめておきたい。

次に版を確かめる。公式の更新の手順のwikiによると、管理メニューの「Update version」の画面で、データベースの版と、コードがmasterと比べて古いかが分かる。最新のリリースは11月9日（日本時間）の29.7.1で、これも当たる範囲に入る。画面に「Your code is outdated」と出れば、コードがmasterより古い。当たるかどうかを決めるのは、版の番号よりも、プラグインの設定と、コードに修正のコミットが入っているかだ。

修正のコードへ上げる

修正は11月10日（日本時間）のコミットd34ccf2で、SNSの側の利用者のIDで結び付ける形に改めた。このコミットは29.7.1の後のmasterに入っている。アドバイザリは修正のコミットを示すだけで、修正の版の番号と、設定で避ける方法を書いていない。11月11日の時点で、修正を含むリリースは無い。修正では、通常のログインの処理「objects/login.json.php」、利用者の処理「objects/user.php」、スマホのアプリ向けの「plugin/MobileManager/oauth2.php」の3つを直し、試験も足した。

公式の手順では、上げる前にデータベース、設定のファイル「videos/configuration.php」、有料や独自のプラグインを控えておく。その後、AVideoを置いたディレクトリでgit pullを流してmasterのコードを取り込み、管理メニューの「Update version」でデータベースの更新を全て済ませる。続けてプラグインの画面で、プラグインの更新と表の追加を済ませる。有料のプラグインはgit pullでは上がらない。動画の変換を受け持つ「Encoder」を自前で置いている時は、Encoderも同じ手順で上げる。Dockerで動かす時は、wikiのDockerの頁の手順に従う。上げた後は、もう一度「Update version」の画面を開き、コードが古いという表示と、残ったデータベースの更新が無いことを確かめる。

悪用は確認されていない

CVE-2026-126542は、11月11日の時点で、米CISAの悪用を確認した脆弱性の一覧（KEV）に載っていない。アドバイザリとVulnCheckのアドバイザリにも、悪用の報告は無い。それでも、認証も利用者の操作も要らず、管理者のアカウントまで取られ得るので、外に公開したサイトは早く塞ぎたい。

SAGUSでも使い道を確かめた

SAGUSは、自社のコードのリポジトリと手元の開発の環境で、AVideoと、SNSのログインに使うライブラリの名前を文字列の検索で探した。どちらも見つからなかった。自社のサイトでAVideoのログインの入口に当たるURLも、存在しないことを確かめた。SAGUSの環境は当たらない。同じ確かめ方は、名前の検索と入口のURLの確認だけで済むので、AVideoを使ったかどうか分からない組織でもすぐに試せる。

編集部の見方

修正のコードが出てから1日余りで、NVDに載った。それでも修正を含むリリースはまだ無いので、リリースの番号で上げ時を待つ運営者は、待つ間も当たる版のまま残る。だから編集部は、4つのプラグインのどれかを有効にしている運営者は、今日中に公式の手順でmasterへ上げるべきだと考える。masterには修正の後の変更も入るので、上げた後はログインと動画の再生を一通り確かめたい。4つのプラグインをどれも使わない運営者は、修正を含むリリースが出るのを待ってから、いつもの手順で上げてもよい。