CVE-2026-33500
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyadakı və ondan əvvəlki versiyalarda, CVE-2026-27568 (GHSA-rcqw-6466-3mv7) üçün tətbiq edilən düzəliş şərhlərdəki xammal HTML `<a>` və `<img>` teqlərini təmizləyən xüsusi `ParsedownSafeWithLinks` klasını təqdim etmişdir, lakin Parsedown-un `safeMode` funksiyasını aşkar şəkildə deaktiv edir. Bu, yan keçmə imkanı yaradır: markdown link sintaksisi `[text](javascript:alert(1))` Parsedown-un `inlineLink()` metodu tərəfindən emal edilir və bu metod yalnız xammal HTML teqləri ilə işləyən xüsusi `sanitizeATag()` təmizləməsindən keçmir. `safeMode` deaktiv olduğu üçün Parsedown-un daxili `javascript:` URI filtrləməsi (`sanitiseElement()`/`filterUnsafeUrlInAttribute()`) də qeyri-aktiv olur. Hücumçu şərh markdown linkləri vasitəsilə saxlanılan saytlararası skriptinq (XSS) inyeksiya edə bilər. 3ae02fa240939dbefc5949d64f05790fd25d728d commit-i yamağı ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.