CVE-2026-33683
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. 26.0 versiyası daxil olmaqla daha əvvəlki versiyalarda istifadəçi profilinin "about" sahəsində təmizləmə əməliyyatlarının ardıcıllığı ilə bağlı olan çatışmazlıq, hər hansı qeydiyyatdan keçmiş istifadəçiyə digər istifadəçilər onların kanal səhifəsinə daxil olduqda icra olunan ixtiyari JavaScript kodunu yerləşdirməyə imkan verir. `xss_esc()` funksiyası giriş məlumatlarını `strip_specific_tags()` təhlükəli HTML teqlərini tuta bilməzdən əvvəl entity-kodlaşdırır və çıxış zamanı `html_entity_decode()` kodlaşdırmanı geri qaytararaq zərərli HTML kodunu bərpa edir. 7cfdc380dae1e56bbb5de581470d9e9957445df0 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.