CVE-2026-40925
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve önceki sürümlerde, `objects/configurationUpdate.json.php` (`/updateConfig` üzerinden de yönlendirilir), `$_POST` üzerinden düzinelerce küresel site ayarını kalıcı hale getirir ancak uç noktayı yalnızca `User::isAdmin()` ile korur. `forbidIfIsUntrustedRequest()` fonksiyonunu çağırmaz, `globalToken` doğrulaması yapmaz ve Origin/Referer başlığını denetlemez. AVideo, çapraz kökenli iframe gömmeyi desteklemek için kasıtlı olarak `session.cookie_samesite=None` şeklinde ayarladığından, saldırgan tarafından kontrol edilen bir sayfayı ziyaret eden oturum açmış bir yönetici, tarayıcının tek bir istekte sitenin encoder URL'sini, SMTP kimlik bilgilerini, site `<head>` HTML içeriğini, logosunu, favicon'unu, iletişim e-postasını ve daha fazlasını yeniden yazan çapraz kökenli bir POST isteğini otomatik olarak göndermesine neden olur. f9492f5e6123dff0292d5bb3164fde7665dc36b4 commit'i bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.