CVE-2026-41056
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve altı sürümlerde, `objects/functions.php` dosyasındaki `allowOrigin($allowAll=true)` fonksiyonu, herhangi bir rastgele `Origin` başlığını `Access-Control-Allow-Credentials: true` ile birlikte `Access-Control-Allow-Origin` başlığına yansıtmaktadır. Bu fonksiyon; kullanıcı veri alımı, kimlik doğrulama, canlı yayın kimlik bilgileri ve durum değiştirme işlemlerini yöneten temel API uç noktaları olan hem `plugin/API/get.json.php` hem de `plugin/API/set.json.php` tarafından çağrılmaktadır. Uygulamanın `SameSite=None` oturum çerezi politikasıyla birleştiğinde, herhangi bir web sitesi kimlik doğrulamalı çapraz kökenli istekler yapabilir ve kimliği doğrulanmış API yanıtlarını okuyabilir; bu da kullanıcı kişisel verilerinin (PII) ve canlı yayın anahtarlarının çalınmasına ve mağdur adına durum değişiklikleri yapılmasına olanak tanır. caf705f38eae0ccfac4c3af1587781355d24495e commit'i bir düzeltme içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.