CVE-2026-40928

WWBN AVideo açıq mənbəli video platformadır. 29.0 və daha əvvəlki versiyalarda, `objects/` altında yerləşən çox sayda AVideo JSON son nöqtələri (endpoints), hər hansı bir anti-CSRF tokeni, mənşə yoxlaması (origin check) və ya istinad yoxlaması (referer check) olmadan `$_REQUEST`/`$_GET` vasitəsilə vəziyyət dəyişdirici sorğuları qəbul edir və bu dəyişiklikləri çağırış edən sessiya istifadəçisi ilə əlaqələndirərək saxlayır. Sistemə daxil olmuş qurban tərəfindən ziyarət edilən zərərli səhifə, qurbanın hər hansı şərhdə bəyənmə/bəyənməmə statusunu gizlicə dəyişə (`objects/comments_like.json.php`), hücum edən tərəfdən seçilmiş mətnlə hər hansı videoda qurbanın adından şərh paylaşa (`objects/commentAddNew.json.php`) və/və ya qurban kateqoriya idarəetmə hüquqlarına malik olduqda hər hansı kateqoriyadan aktivləri silə (`objects/categoryDeleteAssets.json.php`) bilər. Hər bir son nöqtə brauzerdən sadə bir `<img src="…">` teqi və ya forma göndərişi vasitəsilə əlçatandır, buna görə də istismar üçün yalnız qurbanın hücum edən tərəfin nəzarətində olan HTML resursunu yükləməsi kifayətdir. 7aaad601bd9cd7b993ba0ee1b1bea6c32ee7b77c commit-i düzəlişi ehtiva edir.