CVE-2026-34364
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyadakı və ondan əvvəlki versiyalarda kateqoriya siyahısı API-ni təmin edən `categories.json.php` son nöqtəsi (endpoint), kateqoriyalar üzərində istifadəçi qruplarına əsaslanan giriş nəzarətini tətbiq etmir. Standart sorğu yolunda (`?user=` parametri olmadıqda), istifadəçi qrupu filtrləməsi tamamilə ötürülür və bu, müəyyən istifadəçi qrupları üçün məhdudlaşdırılmış olanlar da daxil olmaqla bütün qeyri-özəl kateqoriyaları aşkar edir. `?user=` parametri təqdim edildikdə, tip qarışıqlığı (type confusion) xətası filtrin cari istifadəçinin əvəzinə administrator istifadəçisinin (user_id=1) qrup üzvlüyündən istifadə etməsinə səbəb olur və filtri effektivsiz edir. 6e8a673eed07be5628d0b60fbfabd171f3ce74c9 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.