CVE-2026-41061
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve altı sürümlerde, `objects/video.php:918` konumundaki `isValidDuration()` regex ifadesi, `$` son çapası olmadan `/^[0-9]{1,2}:[0-9]{1,2}:[0-9]{1,2}/` şeklinde kullanılmıştır; bu durum, geçerli bir süre önekinin ardından rastgele HTML/JavaScript eklenmesine izin verir. Hazırlanan süre veritabanında saklanır ve trend sayfaları, çalma listesi sayfaları ile video galerisi küçük resimlerinde `echo Video::getCleanDuration()` aracılığıyla HTML kaçış karakterleri uygulanmadan işlenir, bu da saklanan siteler arası betik çalıştırma (XSS) ile sonuçlanır. bcba324644df8b4ed1f891462455f1cd26822a45 commit'i bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.