CVE-2026-22800
Təsvir
PILOS (Platform for Interactive Live-Online Seminars), BigBlueButton üçün frontend-dir. 4.10.0 versiyasından əvvəl, tək bir serverdəki bütün aktiv videokonfransları dayandırmaq üçün məsul olan inzibati API son nöqtəsində (endpoint) Saytlararası Sorğu Saxtalaşdırılması (CSRF) zəifliyi mövcuddur. Təsirə məruz qalan son nöqtə dağıdıcı hərəkət yerinə yetirir, lakin HTTP GET sorğusu vasitəsilə açıqdır. Müvafiq avtorizasiya yoxlamaları tətbiq edilsə və son nöqtə saytlararası şəkildə tetiklənməsə də, GET istifadəsi bu hərəkətin eyni sayt daxilindəki kontent (məsələn, tətbiq daxilində render olunan gömülmüş resurslar) vasitəsilə dolayısı ilə çağırılmasına imkan verir. Nəticədə, tətbiq daxilində xüsusi hazırlanmış kontenti izləyən autentifikasiya olunmuş administrator, fərqində olmadan son nöqtəni tetikləyə bilər ki, bu da serverdəki bütün aktiv videokonfransların aşkar niyyət və ya təsdiq olmadan dayandırılmasına səbəb olar. Bu zəiflik 4.10.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- thm pilos4.10.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thm pilos | v < 4.10.0 | 4.10.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.