CVE-2026-47696
Təsvir
WWBN AVideo açıq mənbəli video platformadır. 29.0 və daha öncəki versiyalarda, plugin/AuthorizeNet/processPayment.json.php daxil olmuş istifadəçinin pul kisini yalnız hücum edən tərəf tərəfindən idarə olunan amount POST parametri əsasında artırır. Son nöqtədə (endpoint) real Authorize.Net ödənişi üçün TODO qeydi mövcuddur, $paymentSuccess = true dəyişəni sabit şəkildə təyin edilmişdir və hər hansı bir Authorize.Net tranzaksiyasını, webhook imzasını, host edilən ödəniş tokenini, nonce-u və ya server tərəfli ödəniş qeydini yoxlamadan YPTWallet::addBalance() funksiyası çağırılır. Bu, AuthorizeNet və YPTWallet plaginləri aktiv olduqda, daxil olmuş istifadəçilərə öz AVideo pul kisilərinə istənilən məbləğdə vəsait əlavə etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| WWBN/AVideoPackagist | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.