CVE-2026-43881
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 29.0 versiyasına qədər və daxil olmaqla olan versiyalarda, objects/users.json.php faylı qeydiyyatdan keçmiş bütün istifadəçi hesablarını ifşa edən iki autentifikasiya olunmamış yolu açır. isCompany sorğu parametri, handler-in hər hansı qeyri-admin çağırıcı üçün (o cümlədən autentifikasiya olunmamış ziyarətçilər üçün) $ignoreAdmin = true təyin etməsinə səbəb olur ki, bu da User::getAllUsers()/User::getTotalUsers() daxilindəki yalnız adminlərə məxsus mühafizəni sıradan çıxarır. İkinci yol users_id parametrini qəbul edir və heç bir icazə yoxlaması olmadan birbaşa User::getUserFromID() funksiyasını çağıraraq tək istifadəçili orakel yaradır. Hər iki yol id, identification (görünən ad), kanal URL-i, foto, fon və statusu, həmçinin ümumi hesab sayını qaytarır. d9cdc702481a626b15f814f6093f1e2a9c20d375 commit-i yenilənmiş düzəlişi ehtiva edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.