CVE-2026-33493
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. 26.0 versiyasına qədər olan və bu versiya daxil olmaqla versiyalarda, `objects/import.json.php` son nöqtəsi istifadəçi tərəfindən idarə olunan və yalnız dəyərin `.mp4` ilə bitdiyini yoxlayan regex yoxlamasına malik `fileURI` POST parametrini qəbul edir. Yolları `videos/` kataloqu ilə məhdudlaşdırmaq üçün `realpath()` + kataloq prefiksi yoxlaması ilə təkmilləşdirilmiş `objects/listFiles.json.php`-dən fərqli olaraq, `import.json.php` heç bir kataloq məhdudiyyəti tətbiq etmir. Bu, yükləmə icazəsi olan autentifikasiya olunmuş istifadəçiyə aşağıdakıları etməyə imkan verir: (1) digər istifadəçilərin şəxsi video fayllarını öz hesabına idxal etməklə onları oğurlamaq, (2) fayl sistemində hər hansı `.mp4` faylına yaxın yerləşən `.txt`/`.html`/`.htm` fayllarını oxumaq və (3) veb server prosesi tərəfindən yazıla bildiyi təqdirdə `.mp4` və yaxınlıqdakı mətn fayllarını silmək. e110ff542acdd7e3b81bdd02b8402b9f6a61ad78 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.