CVE-2026-40926
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve önceki sürümlerde, yalnızca yöneticiye özel üç JSON uç noktası — `objects/categoryAddNew.json.php`, `objects/categoryDelete.json.php` ve `objects/pluginRunUpdateScript.json.php` — sadece rol kontrolü (`Category::canCreateCategory()` / `User::isAdmin()`) uygulamakta ve `isGlobalTokenValid()` veya `forbidIfIsUntrustedRequest()` fonksiyonlarını çağırmadan veritabanı üzerinde durum değiştirici işlemler gerçekleştirmektedir. Aynı dizindeki benzer uç noktalar (`pluginSwitch.json.php`, `pluginRunDatabaseScript.json.php`) CSRF belirtecini zorunlu kıldığından, eksik kontroller bir tasarım tercihinden ziyade bir ihmaldir. Oturum açmış bir yöneticiyi kötü amaçlı bir sayfaya yönlendiren bir saldırgan; kategoriler oluşturabilir, güncelleyebilir veya silebilir ve yöneticinin oturumunda yüklü herhangi bir eklentinin `updateScript()` metodunun çalıştırılmasını sağlayabilir. ee5615153c40628ab3ec6fe04962d1f92e67d3e2 commit'i bir düzeltme içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.