CVE-2026-41057
Təsvir
WWBN AVideo açıq mənbəli video platformasıdır. 29.0 və daha aşağı versiyalarda, `986e64aad` commit-indəki CORS mənşəyinin (origin) təsdiqlənməsi düzəlişi natamamdır. İki ayrı kod yolu hələ də bütün `/api/*` son nöqtələri üçün etibarnamələrə (credentials) icazə verərək ixtiyari `Origin` başlıqlarını əks etdirir: (1) `plugin/API/router.php` faylının 4-8 sətirləri tətbiq kodu işə düşməzdən əvvəl şərtsiz olaraq hər hansı mənşəyi əks etdirir və (2) `get.json.php` və `set.json.php` tərəfindən çağırılan `allowOrigin(true)` funksiyası `Access-Control-Allow-Credentials: true` ilə hər hansı mənşəyi əks etdirir. Hücumçu istənilən API son nöqtəsinə çarpaz mənşəli etibarnaməli sorğular göndərə bilər və istifadəçinin şəxsi məlumatlarını (PII), e-poçtunu, administrator statusunu və sessiya ilə bağlı həssas məlumatları ehtiva edən autentifikasiya olunmuş cavabları oxuya bilər. 5e2b897ccac61eb6daca2dee4a6be3c4c2d93e13 commit-i düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.