CVE-2026-40911
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve önceki sürümlerde, YPTSocket eklentisinin WebSocket sunucusu, saldırgan tarafından sağlanan JSON mesaj gövdelerini `msg` veya `callback` alanlarını sanitize etmeden tüm bağlı istemcilere iletir. İstemci tarafında, `plugin/YPTSocket/script.js` dosyası, bu iletilen alanlar tarafından doğrudan beslenen iki `eval()` sink'i içerir (satır 568'de `json.msg.autoEvalCodeOnHTML` ve satır 95'te `json.callback`). Anonim ziyaretçiler için token'lar oluşturulduğundan ve şifre çözme dışında hiçbir zaman yeniden doğrulanmadığından, kimliği doğrulanmamış bir saldırgan, şu anda bağlı olan her kullanıcının (yöneticiler dahil) kaynağında yürütülen rastgele JavaScript kodları yayınlayabilir; bu durum genel hesap ele geçirme, oturum çalma ve ayrıcalıklı işlem yürütme ile sonuçlanır. c08694bf6264eb4decceb78c711baee2609b4efd commit'i bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.