CVE-2026-33237
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. Versiyon 26.0 öncesinde, `plugin/Scheduler/Scheduler.php` dosyasındaki Scheduler eklentisinin `run()` fonksiyonu, yalnızca `isValidURL()` (URL format kontrolü) ile doğrulanan ve yönetici tarafından yapılandırılabilen bir `callbackURL` ile `url_get_contents()` fonksiyonunu çağırır. Yakın zamanda SSRF için yamalanan diğer AVideo uç noktalarının aksine (GHSA-9x67-f2v7-63rw, GHSA-h39h-7cvg-q7j6), Scheduler'ın geri çağırma URL'si; RFC-1918 özel adreslerine, döngüsel (loopback) adreslere ve bulut meta veri uç noktalarına yapılan istekleri engelleyen `isSSRFSafeURL()` fonksiyonundan asla geçirilmez. Bir yönetici, bulut altyapı meta veri servislerine veya internetten erişilemeyen dahili API'lere karşı SSRF gerçekleştirmek için dahili ağa ait bir `callbackURL` içeren zamanlanmış bir görev yapılandırabilir. Versiyon 26.0 bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- wwbn avideo26.0 ya da sonraki bir sürüm
- wwbn/avideo26.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v < 26.0 | 26.0 |
| wwbn/avideoPackagist | v < 26.0 | 26.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.