CVE-2026-89248
Təsvir
AVideo proqramında c3edcc274c389816d434acadac07ee78eaf330c1 commit-nə qədər olan versiyalarda plugin/WebRTC/status.json.php faylında autentifikasiya/avtorizasiya yoxlamasının olmaması aşkar edilmişdir. WebRTC plagini mövcud olduqda, hər hansı autentifikasiya olunmamış uzaq istifadəçi /plugin/WebRTC/status.json.php ünvanına sorğu göndərə və aşağıdakıları ehtiva edən JSON cavabını ala bilər: WebRTC2RTMP köməkçi binar faylının mütləq fayl sistemi yolu (sənəd kök yolunu üzə çıxarır), konfiqurasiya edilmiş WebRTC portu, binar fayl üçün file_exists/is_executable statusu, mövcud olduqda WebRTC loq/JSON fayllarının məzmunu (videos/WebRTC2RTMP.log), həmçinin konfiqurasiya edilmiş portun loopback (127.0.0.1) və ictimai ünvan vasitəsilə əlçatan olub-olmadığı. Son nöqtə (endpoint) heç bir User::isLogged(), User::isAdmin() və ya forbiddenPage() yoxlamasını həyata keçirmir. Problem hesabat verildiyi vaxtda düzəldilməmişdi.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| WWBN AVideo | v ≤ c3edcc274c389816d434acadac07ee78eaf330c1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.