CVE-2026-40925
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 29.0 və daha əvvəlki versiyalarda, `objects/configurationUpdate.json.php` (`/updateConfig` vasitəsilə də yönləndirilir) `$_POST` daxilində onlarla qlobal sayt tənzimləməsini saxlayır, lakin son nöqtəni yalnız `User::isAdmin()` ilə qoruyur. O, `forbidIfIsUntrustedRequest()` funksiyasını çağırmır, `globalToken`-i yoxlamır və Origin/Referer başlıqlarını təsdiqləmir. AVideo kross-domen iframe yerləşdirməsini dəstəkləmək üçün qəsdən `session.cookie_samesite=None` təyin etdiyi üçün, hücumçunun nəzarət etdiyi səhifəyə daxil olan autentifikasiya olunmuş administratorun brauzeri avtomatik olaraq kross-domen POST sorğusu göndərəcəkdir. Bu, tək bir sorğu ilə saytın enkoder URL-ni, SMTP etibarnamələrini, saytın `<head>` HTML hissəsini, loqosunu, favicon-u, əlaqə e-poçtunu və digər parametrləri yenidən yazacaqdır. f9492f5e6123dff0292d5bb3164fde7665dc36b4 commit-i bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.