CVE-2026-34740
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 26.0 və daha əvvəlki versiyalarda, AVideo-dakı EPG (Elektron Proqram Bələdçisi) link funksiyası yükləmə icazələri olan autentifikasiya olunmuş istifadəçilərə hər EPG səhifəsinə daxil olduqda server tərəfindən çağırılan ixtiyari URL-ləri saxlamağa imkan verir. URL yalnız daxili şəbəkə ünvanlarını qəbul edən PHP-nin FILTER_VALIDATE_URL funksiyası ilə yoxlanılır. AVideo-da SSRF-in qarşısını almaq üçün xüsusi isSSRFSafeURL() funksiyası olsa da, bu kod yolunda həmin funksiya çağırılmır. Bu, daxili şəbəkələrin skan edilməsi, bulud metadata xidmətlərinə giriş və daxili xidmətlərlə qarşılıqlı əlaqə üçün istifadə oluna bilən saxlanılmış server tərəfli sorğu saxtakarlığı (SSRF) zəifliyinə səbəb olur. Nəşr edildiyi vaxt etibarilə heç bir publicly available patch mövcud değildir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.