CVE-2026-33024
Təsvir
AVideo video paylaşım platformasıdır. 8.0 versiyasından əvvəlki versiyalarda ictimai kiçik şəkil (thumbnail) son nöqtələri olan getImage.php və getImageMP4.php fayllarında Server-Side Request Forgery zəifliyi (CWE-918) mövcuddur. Hər iki son nöqtə base64Url GET parametrini qəbul edir, onu base64 formatında dekodlaşdırır və nəticədə alınan URL-i heç bir autentifikasiya tələbi olmadan giriş mənbəyi kimi ffmpeg-ə ötürür. Əvvəlki yoxlama yalnız URL-in sintaktiki cəhətdən düzgün olduğunu (FILTER_VALIDATE_URL) və http(s):// ilə başladığını yoxlayırdı. Bu kifayət deyil: hücumçu serverin daxili şəbəkə resurslarına müraciət etməsi üçün http://169.254.169.254/latest/meta-data/ (AWS/bulud instansiya meta-məlumatları), http://192.168.x.x/ və ya http://127.0.0.1/ kimi URL-lər təqdim edə bilər. Cavab birbaşa qaytarılmasa da (blind), nəticələri müəyyən etmək üçün zaman fərqləri və xəta loqlarından istifadə edilə bilər. Problem 8.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- wwbn avideo-encoder8.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo-encoder | v < 8.0 | 8.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.