CVE-2026-88867
Təsvir
WWBN AVideo-nun c3edcc274c389816d434acadac07ee78eaf330c1 commit daxil olmaqla əvvəlki versiyalarında saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. objects/categoryAddNew.json.php faylı `name` və `iconClass` POST parametrlərini Category::setName() və Category::setIconClass() funksiyalarına ötürür və bu dəyərlər təmizlənmədən saxlanılır (setName yalnız simvollar sayını 45-ə qədər kəsir). Kateqoriya adı daha sonra HTML mətni kimi, iconClass isə view/modeYoutubeBottom.php faylında və Gallery kartlarında (plugin/Gallery/functions.php) klass atributu daxilində ekrana çıxarılır. CustomizeUser seçimlərində usersCanCreateNewCategories aktiv olduqda, canUpload icazəsinə malik hər hansı autentifikasiya olunmuş istifadəçi (özqeydiyyat vasitəsilə standart olaraq verilir) JavaScript payload-u ehtiva edən kateqoriya yarada bilər; həmin payload daha sonra həmin kateqoriyaya təyin edilmiş videonun izləmə səhifəsinə və ya qalereya yazısına baxan bütün ziyarətçilərin, o cümlədən administratorların brauzerində icra olunur ki, bu da qurbanın sessiyası ilə autentifikasiya olunmuş sorğular kimi hərəkətlərə imkan verir. Problem hesabat verildiği vaxtda düzəldilməmişdi.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| WWBN AVideo | v ≤ c3edcc274c389816d434acadac07ee78eaf330c1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.