CVE-2026-33647
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyasına qədər olan və bu versiya daxil olan versiyalarda `ImageGallery::saveFile()` metodu yüklənmiş faylın məzmununu `finfo` MIME növü aşkarlanması ilə yoxlayır, lakin yadda saxlanılan faylın genişlənməsini ağ siyahı yoxlaması olmadan istifadəçinin təqdim etdiyi orijinal fayl adından götürür. Hücumçu `.php` genişlənməsi olan poliqlot faylı (düzgün JPEG sehrli baytları və ardınca PHP kodu) yükləyə bilər. MIME yoxlaması uğurlu olur, lakin fayl veb üzərindən əlçatan kataloqda icra oluna bilən `.php` faylı kimi yadda saxlanılır ki, bu da uzaqdan kodun icrasına (Remote Code Execution) gətirib çıxarır. 345a8d3ece0ad1e1b71a704c1579cbf885d8f3ae commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.