CVE-2026-40929
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve önceki sürümlerde, `objects/commentDelete.json.php` yorumları silen ancak herhangi bir CSRF doğrulaması yapmayan durum değiştirici bir JSON uç noktasıdır. Bu uç nokta `forbidIfIsUntrustedRequest()` fonksiyonunu çağırmaz, bir CSRF/global token doğrulaması yapmaz ve `Origin`/`Referer` başlıklarını kontrol etmez. AVideo, (cross-origin gömülü oynatıcıları desteklemek için) kasıtlı olarak `session.cookie_samesite=None` ayarını kullandığından, saldırgan tarafından kontrol edilen herhangi bir sayfadan gelen siteler arası istek, kurbanın `PHPSESSID` bilgisini otomatik olarak taşır. Bir veya daha fazla yorumu silme yetkisine sahip olan herhangi bir kimliği doğrulanmış kurban (site moderatörleri, video sahipleri ve yorum yazarları), yalnızca bir saldırgan sayfasını ziyaret ederek toplu halde yorumların silmesi için kandırılabilir. 184f36b1896f3364f864f17c1acca3dd8df3af27 commit'i bir düzeltme içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.