CVE-2026-22800
Açıklama
PILOS (Platform for Interactive Live-Online Seminars), BigBlueButton için bir ön yüzdür. 4.10.0 sürümünden önce, tek bir sunucudaki tüm aktif video konferansları sonlandırmaktan sorumlu olan bir yönetici API uç noktasında Siteler Arası İstek Sahteciliği (CSRF) zafiyeti bulunmaktadır. Etkilenen uç nokta yıkıcı bir işlem gerçekleştirmekte ancak bir HTTP GET isteği üzerinden sunulmaktadır. Uygun yetkilendirme kontrolleri uygulanmasına ve uç noktanın siteler arası tetiklenememesine rağmen, GET kullanımı işlemin aynı site içeriği (örneğin uygulama içinde oluşturulan gömülü kaynaklar) aracılığıyla örtük olarak çağrılmasına izin verir. Sonuç olarak, uygulama içinde hazırlanmış içeriği görüntüleyen kimliği doğrulanmış bir yönetici, farkında olmadan uç noktayı tetikleyebilir ve bu durum sunucudaki tüm aktif video konferansların açık bir niyet veya onay olmaksızın sonlandırılmasına neden olabilir. Bu zafiyet 4.10.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- thm pilos4.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thm pilos | v < 4.10.0 | 4.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.