CVE-2026-33352
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. Versiyon 26.0 öncesinde, `objects/category.php` dosyasındaki `getAllCategories()` metodunda kimlik doğrulaması gerektirmeyen bir SQL injection zafiyeti bulunmaktadır. `doNotShowCats` istek parametresi yalnızca tek tırnak karakterleri temizlenerek (`str_replace("'", '', ...)`) sanitize edilmektedir; ancak bu durum, SQL dize sınırlarını kaydırmak için ters eğik çizgi kaçış tekniği kullanılarak kolayca atlatılabilmektedir. Parametre, `objects/security.php` içerisindeki uygulamanın hiçbir küresel girdi filtresi tarafından kapsanmamaktadır. Versiyon 26.0, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- wwbn avideo26.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v < 26.0 | 26.0 |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.