CVE-2026-33500
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 dahil önceki sürümlerde, CVE-2026-27568 (GHSA-rcqw-6466-3mv7) için getirilen düzeltme, yorumlardaki ham HTML `<a>` ve `<img>` etiketlerini temizleyen özel bir `ParsedownSafeWithLinks` sınıfı tanıtmış ancak Parsedown'un `safeMode` özelliğini açıkça devre dışı bırakmıştır. Bu durum bir atlatmaya yol açmaktadır: Markdown bağlantı söz dizimi olan `[text](javascript:alert(1))`, yalnızca ham HTML etiketlerini işleyen özel `sanitizeATag()` temizleme işleminden geçmeyen Parsedown'un `inlineLink()` yöntemi tarafından işlenir. `safeMode` devre dışı olduğunda, Parsedown'un yerleşik `javascript:` URI filtrelemesi (`sanitiseElement()`/`filterUnsafeUrlInAttribute()`) de etkisiz kalır. Bir saldırgan, yorum markdown bağlantıları aracılığıyla saklanan XSS (stored XSS) enjekte edebilir. 3ae02fa240939dbefc5949d64f05790fd25d728d8 commit'i bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.