CVE-2026-33352
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. Versiya 26.0-dan əvvəl, `objects/category.php` faylının `getAllCategories()` metodunda autentifikasiya tələb etməyən SQL inyeksiyası zəifliyi mövcuddur. `doNotShowCats` sorğu parametri yalnız tək dırnaq simvollarının silinməsi yolu ilə (`str_replace("'", '', ...)`) təmizlənir, lakin bu, SQL sətir sərhədlərini dəyişmək üçün geri slash (backslash) qaçış texnikasından istifadə edilərək asanlıqla keçilə bilər. Parametr `objects/security.php` faylındakı tətbiqin heç bir qlobal giriş filtri ilə əhatə olunmayıb. Versiya 26.0-da problem üçün yamaq tətbiq edilmişdir.
Necə düzəltmək olar
- wwbn avideo26.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v < 26.0 | 26.0 |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.