CVE-2026-33684
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. Versiyon 29.0 öncesinde, signUp API'sindeki korumasız izin parametreleri aracılığıyla Yetki Yükseltme mümkündür; bu durum, CAPTCHA çözebilen herhangi bir kullanıcının hesap kaydı sırasında kendisine yüksek izinler tanımlamasına olanak tanır. API eklentisindeki set_api_signUp metodu, kullanıcı tarafından sağlanan girdilerden emailVerified, canUpload, canStream ve canCreateMeet parametrelerini kabul eder ve isteğin geçerli bir APISecret ile kimliklendirildiğini doğrulamadan bunları yeni oluşturulan hesaplara uygular. Saldırganlar, hesap özniteliklerini kendilerine tanımlayarak adresin sahibi olmadan kendi hesaplarını e-posta doğrulanmış olarak işaretleyebilir (e-posta kısıtlamalı işlevselliği atlatabilir) ve kendilerine yükleme, yayınlama ve toplantı oluşturma izinleri vererek, yönetici erişim kontrollerini devre dışı bırakabilir. Bu sorun versiyon 29.0 ile düzeltilmiştir.
Nasıl düzeltilir
- wwbn/avideo29.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn/avideoPackagist | v < 29.0 | 29.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.