CVE-2025-34433
Açıklama
AVideo 14.3.1 sürümünden 20.1 öncesine kadar olan sürümler, PHP uniqid() kullanılarak öngörülebilir bir kurulum tuzu üretilmesinden kaynaklanan, kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma güvenlik açığı içerir. Kurulum zaman damgası herkese açık bir uç nokta aracılığıyla açığa çıkar ve türetilmiş bir karma tanımlayıcıya kimlik doğrulaması gerektirmeyen API yanıtları aracılığıyla erişilebilir; bu da saldırganların kalan entropiyi kaba kuvvetle bulmasına olanak tanır. Kurtarılan tuz daha sonra, saldırgan tarafından kontrol edilen girdiyi değerlendiren bir bildirim API uç noktasına sağlanan kötü amaçlı bir yükü şifrelemek için kullanılabilir ve bu da web sunucusu kullanıcısı olarak rastgele kod çalıştırılmasıyla sonuçlanır.
Nasıl düzeltilir
- World Wide Broadcast Network AVideo20.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| World Wide Broadcast Network AVideo | 14.3.1 ≤ v < 20.1 | 20.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.