CVE-2026-34739
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 və daha əvvəlki versiyalarda User_Location plagininin testIP.php səhifəsi ip sorğu parametrini htmlspecialchars() və ya hər hansı digər çıxış kodlaşdırmasını tətbiq etmədən birbaşa HTML giriş elementinə əks etdirir. Bu, hücumçuya xüsusi hazırlanmış URL vasitəsilə ixtiyari HTML və JavaScript kodlarının yerləşdirilməsinə imkan verir. Səhifə yalnız administrator istifadəçiləri üçün məhdudlaşdırılsa da, AVideo-nun SameSite=None kukilər konfiqurasiyası çarpaz mənşəli (cross-origin) istismara yol açır; bu o deməkdir ki, hücumçu administratoru zərərli linkə yönləndirərək onun autentifikasiya olunmuş sessiyasında JavaScript kodunu icra edə bilər. Nəşr edildiyi vaxtda heç bir publicly available yamaq mövcud olmayıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.