CVE-2026-33507
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyasına qədər olan və bu versiya daxil olan versiyalarda `objects/pluginImport.json.php` son nöqtəsi administrator istifadəçilərə icra oluna bilən PHP kodu ehtiva edən plagin ZIP fayllarını yükləməyə və quraşdırmağa imkan verir, lakin hər hansı bir CSRF mühafizəsinə malik deyil. Tətbiqin HTTPS bağlantıları üçün `session.cookie_samesite = 'None'` parametrini açıq şəkildə təyin etməsi ilə birlikdə, autentifikasiya olunmamış hücumçu elə bir səhifə hazırlaya bilər ki, həmin səhifəyə autentifikasiya olunmuş administrator daxil olduqda, PHP webshell ehtiva edən zərərli plagin gizli şəkildə yüklənir və serverdə uzaqdan kodun icrası (Remote Code Execution) baş verir. d1bc1695edd9ad4468a48cea0df6cd943a2635f3 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.