CVE-2026-41056
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 29.0 və daha aşağı versiyalarda, `objects/functions.php` faylındakı `allowOrigin($allowAll=true)` funksiyası hər hansı ixtiyari `Origin` başlığını `Access-Control-Allow-Credentials: true` ilə birlikdə `Access-Control-Allow-Origin` daxilində əks etdirir. Bu funksiya istifadəçi məlumatlarının alınması, autentifikasiya, canlı yayım etibarnamələri və vəziyyət dəyişikliyi əməliyyatlarını idarə edən əsas API son nöqtələri olan `plugin/API/get.json.php` və `plugin/API/set.json.php` tərəfindən çağırılır. Tətbiqin `SameSite=None` sessiya kukisi siyasəti ilə birlikdə, hər hansı veb sayt etibarnaməli çarpaz mənşəli (cross-origin) sorğular göndərə və autentifikasiya olunmuş API cavablarını oxuya bilər ki, bu da istifadəçinin şəxsi məlumatlarının (PII), canlı yayım açarlarının oğurlanmasına və qurban adına vəziyyət dəyişikliklərinin edilməsinə imkan verir. caf705f38eae0ccfac4c3af1587781355d24495e commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.