CVE-2026-33499
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 dahil önceki sürümlerde, `view/forbiddenPage.php` ve `view/warningPage.php` şablonları, `$_REQUEST['unlockPassword']` parametresini herhangi bir çıktı kodlaması veya temizleme işlemi yapmadan doğrudan bir HTML `<input>` etiketinin öznitelikleri içerisine yansıtmaktadır. Bir saldırgan, `value` özniteliğinden çıkış yapan ve JavaScript olay işleyicileri dahil rastgele HTML öznitelikleri enjekte eden özel bir URL oluşturarak, bağlantıya tıklayan her ziyaretçiye karşı yansıtılmış XSS gerçekleştirebilir. f154167251c9cf183ce09cd018d07e9352310457 commit'i bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.