CVE-2026-34368
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 versiyası daxil olmaqla daha əvvəlki versiyalarda `plugin/YPTWallet/YPTWallet.php` faylındakı `transferBalance()` metodu Time-of-Check-Time-of-Use (TOCTOU) yarış vəziyyətinə (race condition) malikdir. Metod göndərənin pul kisəsi balansını oxuyur, kifayət qədər vəsait olduğunu PHP-də yoxlayır və sonra yeni balansı yazır — bütün bunlar verilənlər bazası tranzaksiyaları və ya sətir səviyyəli kilidləmə olmadan həyata keçirilir. Çox sayda autentifikasiya olunmuş sessiyaya malik hücumçu eyni vaxtda transfer sorğuları göndərə bilər ki, bu sorğuların hər biri köhnəlmiş eyni balansı oxuyaraq balans yoxlamasından müstəqil şəkildə keçsin; nəticədə yalnız bir çıxılış tətbiq edilərkən, qəbul edən şəxsə dəfələrlə vəsait yüklənir. 34132ad5159784bfc7ba0d7634bb5c79b769202d commit-i bu problem üçün düzəliş təmin edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.