CVE-2026-34731
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 26.0 ve önceki sürümlerde, Live eklentisindeki AVideo on_publish_done.php uç noktası, kimliği doğrulanmamış kullanıcıların herhangi bir aktif canlı yayını sonlandırmasına izin verir. Uç nokta, yayınları veritabanında tamamlanmış olarak işaretlemek için RTMP geri çağırma olaylarını işler ancak bunu yapmadan önce herhangi bir kimlik doğrulama veya yetkilendirme kontrolü gerçekleştirmez. Bir saldırgan, kimlik doğrulaması gerektirmeyen stats.json.php uç noktasından aktif yayın anahtarlarını listeleyebilir ve ardından herhangi bir canlı yayını sonlandırmak için on_publish_done.php adresine özel olarak hazırlanmış POST istekleri gönderebilir. Bu durum, platformdaki tüm canlı yayın işlevselliğine karşı hizmet reddi (DoS) saldırılarına olanak tanır. Yayınlandığı sırada kamuya açık herhangi bir yama bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 26.0 | — |
| wwbn/avideoPackagist | v ≤ 26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.