CVE-2026-33513
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyasına qədər olan və bu versiya daxil olmaqla versiyalarda, autentifikasiya olunmamış API son nöqtəsi (`APIName=locale`) istifadəçi girişini kanonikləşdirmə və ya ağ siyahı tətbiq etmədən `include` yoluna birləşdirir. Yol keçidi (path traversal) qəbul edilir, buna görə də veb kök kataloqundakı ixtiyari PHP faylları daxil edilə bilər. Testimiz zamanı bu, təsdiqlənmiş faylın ifşasına və mövcud PHP məzmununun (məsələn, `view/about.php`) kodunun icrasına səbəb olmuşdur və əgər hücum edən şəxs strukturun başqa yerində PHP faylı yerləşdirə və ya onu idarə edə bilsə, bu, uzaqdan kodun icrasına (RCE) çevrilə bilər. Nəşr edildiyi vaxt etibarilə heç bir düzəliş edilmiş versiya mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.