漏洞概述 漏洞名称: Missing Authentication in CreatePlugin list.json.php Template Affects 21 Endpoints CVE编号: CVE-2025-34732 CWE: CWE-306 (关键功能缺少身份验证) 严重程度: 5.3/10 (Medium) AVideo平台的 代码生成器中的 模板缺少身份验证和授权检查。虽然配套的 和 需要管理员权限，但 模板未包含任何防护，导致所有使用该模板生成的插件端点都存在未授权访问漏洞。 --- 影响范围 受影响版本: ≤ 26.0 已修复版本: 无 受影响端点: 21个插件端点 攻击者可获取的敏感数据: 个人信息（扩展资料、邮箱、用户ID） 支付数据（PayPal和Authorize.Net交易日志、支付金额、买家详情） 访问日志（IP地址、用户代理、时间戳、会议加入行为模式） 社交图谱（用户连接和关系数据） 活动记录（揭示用户行为模式的通知历史） --- 修复方案 模板修复 在 的 require 行后添加管理员身份验证检查： 现有端点修复 对已生成的21个 端点进行追溯修补，在各自的 require 行后添加相同的管理员检查。 --- POC代码 Step 1: 枚举可访问的list端点（无需身份验证） Step 2: 从特定端点检索分页结果 Step 3: 通过扫描插件目录发现额外漏洞端点