CVE-2026-34369
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. 26.0 versiyasına qədər və daxil olmaqla olan versiyalarda AVideo-dakı `get_api_video_file` və `get_api_video` API son nöqtələri (endpoints), şifrə ilə qorunan videolar üçün video şifrəsini yoxlamadan tam video oxutma mənbələrini (birbaşa MP4 URL-ləri, HLS manifestləri) qaytarır. Normal veb oxutma axını `CustomizeUser::getModeYouTube()` hook-u vasitəsilə şifrə yoxlamalarını tətbiq etsə də, bu tədbir API kod yolunda tamamilə mövcud deyil. Autentifikasiya olunmamış hücumçu API-ni birbaşa çağıraraq istənilən şifrə ilə qorunan videonun birbaşa oxutma URL-lərini əldə edə bilər. be344206f2f461c034ad2f1c5d8212dd8a52b8c7 commit-i problemi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.