CVE-2026-33651
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 sürümü dahil önceki sürümlerde, `remindMe.json.php` uç noktası, `$_REQUEST['live_schedule_id']` değerini herhangi bir temizleme işlemi yapmadan birden fazla fonksiyondan geçirerek doğrudan bir SQL `LIKE` ifadesine ekleyen `Scheduler_commands::getAllActiveOrToRepeat()` fonksiyonuna iletir. Ara fonksiyonlar (`new Live_schedule()`, `getUsers_idOrCompany()`) dahili olarak `intval()` uygulasalar da bunu `ObjectYPT::getFromDb()` içindeki yerel kopyalar üzerinde yaparlar ve orijinal kirli değişkeni değiştirilmeden bırakırlar. Kimliği doğrulanmış herhangi bir kullanıcı, rastgele veritabanı içeriklerini çıkarmak için zaman tabanlı kör SQL enjeksiyonu gerçekleştirebilir. Commit 75d45780728294ededa1e3f842f95295d3e7d144 bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.