CVE-2026-33507
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 dahil önceki sürümlerde, `objects/pluginImport.json.php` uç noktası yönetici kullanıcıların yürütülebilir PHP kodu içeren eklenti ZIP dosyalarını yüklemesine ve kurmasına izin verir ancak herhangi bir CSRF korumasına sahip değildir. Uygulamanın HTTPS bağlantıları için açıkça `session.cookie_samesite = 'None'` ayarını yapmasıyla birleştiğinde, kimliği doğrulanmamış bir saldırgan, kimliği doğrulanmış bir yönetici tarafından ziyaret edildiğinde sessizce PHP webshell içeren kötü amaçlı bir eklentiyi yükleyen bir sayfa oluşturarak sunucuda uzaktan kod çalıştırma sağlayabilir. d1bc1695edd9ad4468a48cea0df6cd943a2635f3 commit'i bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.