CVE-2026-33767
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 dahil önceki sürümlerde, `objects/like.php` dosyasındaki `getLike()` metodu, `users_id` için hazırlanmış bir ifade yer tutucusu (`?`) kullanarak bir SQL sorgusu oluşturur ancak `$this->videos_id` değerini parametreleştirme yapmadan doğrudan sorgu dizesine ekler. `videos_id` değerini (özel olarak hazırlanmış bir istek aracılığıyla) kontrol edebilen bir saldırgan, kısmi hazırlanmış ifade korumasını atlayarak rastgele SQL enjekte edebilir. 0215d3c4f1ee748b8880254967b51784b8ac4080 commit'i bir yama içermektedir.
Nasıl düzeltilir
- wwbn/avideo26.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v < 26.0 | 26.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.