CVE-2026-28501
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. Versiyon 24.0 öncesinde, AVideo içerisindeki objects/videos.json.php ve objects/video.php bileşenlerinde kimlik doğrulaması gerektirmeyen bir SQL Injection zafiyeti bulunmaktadır. Uygulama, JSON formatlı bir POST isteği gövdesi aracılığıyla iletildiğinde catName parametresini uygun şekilde temizleyememektedir. JSON girdisi, genel güvenlik kontrolleri yürütüldükten sonra ayrıştırılıp $_REQUEST içine dahil edildiğinden, yük (payload) mevcut temizleme mekanizmalarını atlatmaktadır. Bu sorun versiyon 24.0 ile düzeltilmiştir.
Nasıl düzeltilir
- wwbn avideo24.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v < 24.0 | 24.0 |
| wwbn/avideoPackagist | v ≤ 21.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.