CVE-2026-33499
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyasına qədər və daxil olmaqla olan versiyalarda, `view/forbiddenPage.php` və `view/warningPage.php` şablonları `$_REQUEST['unlockPassword']` parametrini hər hansı çıxış kodlaşdırılması və ya təmizlənməsi olmadan birbaşa HTML `<input>` teginin atributlarına əks etdirir. Hücumçu `value` atributundan çıxan və JavaScript hadisə idarəçiləri də daxil olmaqla ixtiyari HTML atributlarını yerləşdirən xüsusi bir URL hazırlaya bilər ki, bu da linkə klikləyən istənilən ziyarətçiyə qarşı reflected XSS-in həyata keçirilməsinə səbəb olur. f154167251c9cf183ce09cd018d07e9352310457 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.