CVE-2026-33292
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. Versiya 26.0-dan əvvəl, HLS axın nöqtəsi (`view/hls.php`) autentifikasiya olunmamış hücumçunun platformadakı hər hansı şəxsi və ya ödənişli videonu izləməsinə imkan verən yol keçidi (path traversal) hücumuna qarşı həssasdır. `videoDirectory` GET parametri iki fərqli kod yolunda istifadə olunur — biri avtorizasiya üçün (ilk `/` seqmentində kəsilir) və digəri fayla giriş üçün (`..` keçid ardıcıllıqlarını saxlayır); bu, avtorizasiyanın bir video ilə yoxlanıldığı, lakin məzmunun digər videodan təmin edildiyi "split-oracle" vəziyyətini yaradır. Versiya 26.0-da bu problem üçün düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
- wwbn avideo26.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v < 26.0 | 26.0 |
| wwbn/avideoPackagist | v ≤ 25.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.