CVE-2026-43873

WWBN AVideo açıq mənbəli video platformasıdır. 29.0 versiyası daxil olmaqla daha əvvəlki versiyalarda, plugin/CloneSite/cloneClient.json.php faylı hər bir autentifikasiya olunmamış sorğu zamanı lokal CloneSite ortaq sirrini ($objClone->myKey, sabit md5($global['systemRootPath'] . $global['salt'])) HTTP cavab gövdəsinə ötürür. Autentifikasiya olunmamış xəta budağı etibarlı açarı olmayan admin olmayan çağırıcıları rədd etmək üçün nəzərdə tutulmuşdu, lakin rədd etmə mesajı die() funksiyasından əvvəl gözlənilən açarı daxil edir. Qurban tərəfindən uzaq cloneSiteURL konfiqurasiya edildikdə (standart federasiya/ehtiyat nüsxələmə quruluşu), sızan myKey məhz qurbana həmin uzaq serverin cloneServer.json.php faylında autentifikasiya üçün lazım olan etibarnamədir və bu, hücumçuya qurban kimi çıxış etməyə və uzaq serverin verilənlər bazasının tam mysqldump faylının uzaq serverin ictimai videos/clones/ kataloquna köçürülməsini tətikləməyə imkan verir. e6566f56a28f4556b2a0a09d03717a719dcb49da commit-i yenilənmiş düzəlişi ehtiva edir.