CVE-2026-40929
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 29.0 və daha öncəki versiyalarda `objects/commentDelete.json.php` şərhləri silən, lakin heç bir CSRF yoxlaması aparmayan vəziyyət-dəyişdirici JSON son nöqtəsidir (endpoint). Bu fayl `forbidIfIsUntrustedRequest()` funksiyasını çağırmır, CSRF/qlobal tokeni təsdiqləmir və `Origin`/`Referer` başlıqlarını yoxlamır. AVideo-nun (kross-domen gömülmüş pleyerləri dəstəkləmək üçün) qəsdən `session.cookie_samesite=None` parametrini təyin etməsi səbəbindən, hücumçu tərəfindən idarə olunan hər hansı səhifədən gələn kross-sayt sorğusu avtomatik olaraq qurbanın `PHPSESSID` cookie-sini daşıyır. Bir və ya daha çox şərh silmək səlahiyyətinə malik olan hər hansı autentifikasiya olunmuş qurban (sayt moderatorları, videoların sahibləri və şərh müəllifləri), sadəcə hücumçunun səhifəsinə daxil olmaqla, şərhlərin toplu şəkildə silinməsinə sövq edilə bilər. 184f36b1896f3364f864f17c1acca3dd8df3af27 commit-i bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.