CVE-2026-33297
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. Versiyon 26.0 öncesinde, CustomizeUser eklentisindeki `setPassword.json.php` uç noktası, yöneticilerin herhangi bir kullanıcı için kanal şifresi belirlemesine izin verir. Gönderilen şifre değerinin işlenme biçimindeki bir mantık hatası nedeniyle, sayısal olmayan karakterler içeren tüm şifreler, kaydedilmeden önce sessizce sıfır tam sayısına dönüştürülür. Bu durum, hedeflenen şifreden bağımsız olarak, kaydedilen kanal şifresinin 0 olması anlamına gelir ve bu şifre, herhangi bir ziyaretçi tarafından kolayca tahmin edilerek kanal düzeyindeki erişim kontrolünün atlatılmasına olanak tanır. Versiyon 26.0, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- wwbn avideo26.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v < 26.0 | 26.0 |
| wwbn/avideoPackagist | v ≤ 25.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.