CVE-2026-43874

WWBN AVideo açıq mənbəli video platformadır. 29.0 versiyası daxil olmaqla daha əvvəlki versiyalarda, YPTSocket autoEvalCodeOnHTML eval sinki üçün server tərəfli təhlükəsizlik tədbiri (CVE-2026-40911-dən) faydalı yükü (payload) yalnız $json['msg'] altında olduqda silir, lakin msgToResourceId() relay funksiyası çıxan mesajı $msg['msg']-dən əvvəl $msg['json']-dan seçir. Autentifikasiya olunmamış hücumçu plugin/YPTSocket/getWebSocket.json.php vasitəsilə WebSocket tokeni əldə edə, WebSocket serverinə qoşula və yuxarı səviyyəli json sahəsi altında yerləşmiş autoEvalCodeOnHTML ilə mesaj göndərə bilər — bu zaman silmə budağı ötürülür, relay faydalı yükü to_users_id ilə müəyyən edilmiş hər hansı daxil olmuş istifadəçiyə olduğu kimi çatdırır və klient skripti onu eval() vasitəsilə icra edir. 9f3006f9a89a34daa67a83c6ad35f450cb91fcce commit-i yenilənmiş düzəlişi ehtiva edir.