CVE-2026-92584
Təsvir
AVideo 29.0 versiyasına qədər (cari reviziya e01e41ecc) saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Autentifikasiyadan keçməmiş view-counter endpointi olan objects/videoAddViewCount.json.php, VideoStatistic::save() funksiyasına müraciət edir və bu funksiya çağıranın User-Agent məlumatını (tanınmayan agent sətirlərini olduğu kimi qaytaran getUserAgentInfo() vasitəsilə), təmizləyici setApp() metodunu çağırmadan birbaşa videos_statistics cədvəlinin `app` sütununa yazır; normalizeApp() yalnız dəyəri 45 simvola qədər kəsir. Video sahibinin və administratorun statistika səhifəsi (view/videoViewsInfo.php) bu sahəni escape edilməmiş renderer ilə DataTables 1.12.1 sütununda render edir və DataTables hüceyrə məzmununu innerHTML istifadə edərək təyin edir, buna görə də statistika səhifəsinə baxıldıqda hücumçu tərəfindən təmin edilən HTML kodu imtiyazlı istifadəçinin autentifikasiya olunmuş sessiyasında parse edilir və icra olunur. Məlumatlandırılma zamanı heç bir yamalı versiya mövcud deyildi.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| WWBN AVideo | v ≤ 29.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.