CVE-2026-41057
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve altı sürümlerde, `986e64aad` commit'indeki CORS köken doğrulama düzeltmesi eksiktir. İki ayrı kod yolu, tüm `/api/*` uç noktaları için kimlik bilgileri izin verilmiş şekilde rastgele `Origin` başlıklarını yansıtmaya devam etmektedir: (1) `plugin/API/router.php` dosyası 4-8. satırlar uygulama kodu çalışmadan önce herhangi bir kökeni koşulsuz olarak yansıtır ve (2) `get.json.php` ile `set.json.php` tarafından çağrılan `allowOrigin(true)`, `Access-Control-Allow-Credentials: true` ile herhangi bir kökeni yansıtır. Bir saldırgan, herhangi bir API uç noktasına kökenler arası kimlik doğrulanmış istekler gönderebilir ve kullanıcı PII, e-posta, yönetici durumu ve oturuma duyarlı veriler içeren kimliği doğrulanmış yanıtları okuyabilir. 5e2b897ccac61eb6daca2dee4a6be3c4c2d93e13 commit'i bir düzeltme içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.