CVE-2026-33513

WWBN AVideo açık kaynaklı bir video platformudur. 26.0 dahil önceki sürümlerde, kimlik doğrulaması gerektirmeyen bir API uç noktası (`APIName=locale`), kullanıcı girişini herhangi bir kanonizasyon veya beyaz liste kontrolü olmaksızın bir `include` yoluyla birleştirir. Yol atlama (path traversal) kabul edildiğinden, web kök dizini altındaki rastgele PHP dosyaları dahil edilebilir. Yapılan testlerde bu durum, mevcut PHP içeriklerinin (örneğin `view/about.php`) onaylanmış dosya ifşasına ve kod çalıştırılmasına yol açmıştır; ayrıca saldırgan ağacın başka bir yerinde bir PHP dosyası yerleştirebilirse veya kontrol edebilirse durum uzaktan kod çalıştırmaya (RCE) yükseltilebilir. Yayınlandığı tarih itibarıyla yamalanmış bir sürüm mevcut değildir.