CVE-2026-33770
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyası daxil olmaqla daha əvvəlki versiyalarda, `objects/category.php` faylındakı `fixCleanTitle()` statik metodu hazırlanmış ifadələrdən (prepared statements) və ya parametrləşdirilmiş sorğulardan istifadə etmədən həm `$clean_title`, həm də `$id` dəyişənlərini birbaşa sorğu sətirinə yerləşdirməklə SQL SELECT sorğusu qurur. Xüsusi hazırlanmış başlıq dəyəri ilə kateqoriyanın yaradılmasını və ya adının dəyişdirilməsini tətikləyə bilən hücumçu ixtiyari SQL kodu inyeksiya edə bilər. 994cc2b3d802b819e07e6088338e8bf4e484aae4 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.