CVE-2026-40928
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve önceki sürümlerde, `objects/` altındaki birden fazla AVideo JSON uç noktası; herhangi bir anti-CSRF belirteci, origin kontrolü veya referer kontrolü olmaksızın `$_REQUEST`/`$_GET` üzerinden durum değiştirici istekleri kabul eder ve değişiklikleri çağıran oturum kullanıcısıyla ilişkilendirerek kalıcı hale getirir. Oturum açmış bir kurban tarafından ziyaret edilen kötü amaçlı bir sayfa; kurbanın herhangi bir yorumdaki beğenisini/beğenmemesini sessizce değiştirebilir (`objects/comments_like.json.php`), saldırgan tarafından seçilen metinle herhangi bir videoya kurban adına yorum gönderebilir (`objects/commentAddNew.json.php`) ve/veya kurban kategori yönetim haklarına sahipse herhangi bir kategoriden varlıkları silebilir (`objects/categoryDeleteAssets.json.php`). Her bir uç noktaya basit bir `<img src="…">` etiketi veya form gönderimi aracılığıyla tarayıcıdan erişilebildiğinden, istismar edilmesi için yalnızca kurbanın saldırgan kontrollü bir HTML kaynağını yüklemesi yeterlidir. 7aaad601bd9cd7b993ba0ee1b1bea6c32ee7b77c commit'i bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.