CVE-2026-34731
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 və daha öncəki versiyalarda, Live plaginindəki AVideo on_publish_done.php son nöqtəsi (endpoint), autentifikasiya olunmamış istifadəçilərə hər hansı aktiv canlı yayımı dayandırmağa imkan verir. Son nöqtə axınları verilənlər bazasında tamamlanmış kimi qeyd etmək üçün RTMP geri çağırma (callback) hadisələrini emal edir, lakin bunu etməzdən əvvəl heç bir autentifikasiya və ya avtorizasiya yoxlaması aparmır. Hücumçu autentifikasiya tələb etməyən stats.json.php son nöqtəsindən aktiv axın açarlarını (stream keys) müəyyən edə bilər və sonra hər hansı canlı yayımı dayandırmaq üçün on_publish_done.php ünvanına xüsusi hazırlanmış POST sorğuları göndərə bilər. Bu, platformadakı bütün canlı yayım funksionallığına qarşı xidmətdən imtina (DoS) hücumuna şərait yaradır. Nəşr edildiyi vaxtda heç bir publicly available yamalar mövcud olmayıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.