CVE-2026-27568
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. Versiyon 21.0 öncesinde AVideo, video yorumlarında Markdown kullanımına izin verir ve Parsedown'ı (v1.7.4) Güvenli Mod (Safe Mode) etkinleştirilmeden kullanır. Markdown bağlantıları yeterince temizlenmediğinden, `javascript:` URI'larının tıklanabilir bağlantılar olarak işlenmesine izin verilir. Kimliği doğrulanmış düşük yetkili bir saldırgan, kalıcı JavaScript enjekte eden kötü amaçlı bir yorum paylaşabilir. Başka bir kullanıcı bağlantıya tıkladığında; saldırgan oturum çalma, yetki yükseltme (yönetici hesabının ele geçirilmesi dahil) ve veri sızdırma gibi işlemler gerçekleştirebilir. Versiyon 21.0 bir düzeltme içerir. Geçici çözüm olarak, Markdown işlemeden önce güvenli olmayan URI şemalarını (örneğin `javascript:`) doğrulayıp engelleyin ve Parsedown Güvenli Modunu etkinleştirin.
Nasıl düzeltilir
- wwbn avideo21.0 ya da sonraki bir sürüm
- wwbn/avideo21.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v < 21.0 | 21.0 |
| wwbn/avideoPackagist | v < 21.0 | 21.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.