CVE-2026-33025
Açıklama
AVideo bir video paylaşım platformudur. 8.0 öncesindeki sürümler, Object.php dosyasının getSqlFromPost() metodunda bir SQL Injection zafiyeti içermektedir. $_POST['sort'] dizi anahtarları, bir ORDER BY yan tümcesi içinde doğrudan SQL sütun tanımlayıcıları olarak kullanılmaktadır. real_escape_string() uygulanmış olsa da, bu fonksiyon yalnızca dize bağlamındaki karakterleri (tırnaklar, null baytlar) kaçırır ve SQL tanımlayıcıları için herhangi bir koruma sağlamaz; bu da onu burada tamamen etkisiz kılar. Bu sorun 8.0 sürümünde düzeltilmiştir. Yükseltme yapmadan bu sorunu gidermek için operatörler, herhangi bir sort[*] anahtarının [A-Za-z0-9_] dışındaki karakterleri içerdiği POST isteklerini engellemek amacıyla bir WAF kuralı uygulayabilirler. Alternatif olarak, kuyruk görünümüne (queue.json.php, index.php) erişim yalnızca güvenilir IP aralıklarıyla sınırlandırılabilir.
Nasıl düzeltilir
- wwbn avideo-encoder8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo-encoder | v < 8.0 | 8.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.