CVE-2026-27732
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. Versiya 22.0-dan əvvəl `aVideoEncoder.json.php` API son nöqtəsi `downloadURL` parametrini qəbul edir və istinad edilən resursu lazımi yoxlama və ya icazə siyahısı olmadan server tərəfində əldə edir. Bu, autentifikasiya olunmuş istifadəçilərə ixtiyari URL-lərə (o cümlədən daxili şəbəkə son nöqtələrinə) server tərəfli sorğular göndərməyə imkan verir. Autentifikasiya olunmuş hücumçu SSRF-dən istifadə edərək daxili xidmətlərlə qarşılıqlı əlaqə qura və həssas məlumatları (məsələn, daxili API-lər, metadata xidmətləri) əldə edə bilər ki, bu da yerləşdirmə mühitindən asılı olaraq daha geniş təhlükəsizlik pozuntusuna səbəb ola bilər. Bu problem AVideo versiya 22.0-da düzəldilmişdir.
Necə düzəltmək olar
- wwbn avideo22.0 və ya daha yeni versiya
- wwbn/avideo22.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v < 22.0 | 22.0 |
| wwbn/avideoPackagist | v < 22.0 | 22.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.