CVE-2026-33723
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 sürümü dahil önceki sürümlerde, `objects/subscribe.php` dosyasındaki `Subscribe::save()` metodu, `$this->users_id` özelliğini herhangi bir temizleme veya parametreli bağlama işlemi yapmadan doğrudan bir INSERT SQL sorgusuna eklemektedir. Bu özellik, hem `subscribe.json.php` hem de `subscribeNotify.json.php` dosyalarındaki `$_POST['user_id']` değerinden gelmektedir. Kimliği doğrulanmış bir saldırgan; parola özetleri, API anahtarları ve şifreleme tuzları dahil olmak üzere herhangi bir veritabanı tablosundan hassas verileri çıkarmak için rastgele SQL enjekte edebilir. 36dfae22059fbd66fd34bbc5568a838fc0efd66c commit'i bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.