CVE-2026-21875
Təsvir
ClipBucket v5 açıq mənbəli video paylaşım platformasıdır. 5.5.2-#187 və daha aşağı versiyalarda hücumçu kanal daxilindəki şərh əlavə etmə bölməsi vasitəsilə Blind SQL Injection həyata keçirə bilər. Kanal daxilində şərh əlavə edilərkən /actions/ajax.php son nöqtəsinə (endpoint) POST sorğusu göndərilir. /actions/ajax.php ünvanına göndərilən POST sorğusundakı obj_id parametri daha sonra upload/includes/classes/user.class.php faylının user_exists funksiyasında $id parametri kimi istifadə olunur. Daha sonra isə bu parametr upload/includes/classes/db.class.php faylının count funksiyasında istifadə edilir. $id parametri heç bir yoxlama və ya təmizləmə prosesindən keçmədən sorğuya birləşdirilir və 1' or 1=1-- - kimi istifadəçi tərəfindən təmin edilən giriş inyeksiyanı tetikləmək üçün istifadə oluna bilər. Nəşr edildiyi vaxtda bu problem üçün hələ ki, düzəliş mövcud olmayıb.
Necə düzəltmək olar
- oxygenz clipbucket5.5.2-191 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| oxygenz clipbucket | 5.3 ≤ v < 5.5.2-191 | 5.5.2-191 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.