CVE-2026-33649
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyasına qədər olan və bu versiya daxil olmaqla versiyalarda, `plugin/Permissions/setPermission.json.php` son nöqtəsi istifadəçi qrupunun icazələrini dəyişdirən vəziyyət dəyişdirici əməliyyat üçün GET parametrlərini qəbul edir. Son nöqtədə CSRF token yoxlaması mövcud deyil və tətbiq sessiya kukiləri üçün açıq şəkildə `session.cookie_samesite=None` təyin edir. Bu, autentifikasiya olunmamış hücumçunun elə bir səhifə hazırlamasına imkan verir ki, həmin səhifə administrator tərəfindən ziyarət edildikdə, `<img>` teqləri vasitəsilə hücumçunun istifadəçi qrupuna gizli şəkildə ixtiyari icazələr verilir və beləliklə, hücumçu demək olar ki, administrator səviyyəsində giriş əldə edərək imtiyazlarını yüksəldir. Nəşr edildiyi vaxt etibarilə heç bir məlum düzəliş edilmiş versiya mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.