CVE-2026-33684
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. 29.0 versiyasından əvvəl signUp API-də qorunmayan icazə parametrləri vasitəsilə imtiyazların yüksəldilməsi mümkündür ki, bu da CAPTCHA-nı həll edə bilən istənilən istifadəçiyə hesab qeydiyyatı zamanı özünə yüksək icazələr verməyə imkan verir. API plaqinindəki set_api_signUp metodu istifadəçi tərəfindən təqdim edilən girişdən emailVerified, canUpload, canStream və canCreateMeet parametrlərini qəbul edir və sorğunun etibarlı APISecret ilə autentifikasiya olunduğunu yoxlamadan onları yeni yaradılmış hesablara tətbiq edir. Hesab atributlarını özlərinə verməklə hücumçular öz hesablarını ünvanın sahibi olmadan email-təsdiqlənmiş kimi qeyd edə (email ilə məhdudlaşdırılmış funksionallıqdan yan keçə) və özlərinə yükləmə, yayımlama və görüş yaratma icazələri verə bilər, bununla da yeni istifadəçilər üçün bu imkanları qəsdən məhdudlaşdıran administrator giriş nəzarətlərindən yan keçirlər. Bu problem 29.0 versiyasında düzəldilmişdir
Necə düzəltmək olar
- wwbn/avideo29.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn/avideoPackagist | v < 29.0 | 29.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.