CVE-2026-43873

WWBN AVideo açık kaynaklı bir video platformudur. 29.0 sürümü dahil önceki sürümlerde, plugin/CloneSite/cloneClient.json.php dosyası, kimlik doğrulaması yapılmamış her istekte yerel CloneSite paylaşılan sırrını ($objClone->myKey, sabit bir md5($global['systemRootPath'] . $global['salt'])) HTTP yanıt gövdesine yansıtmaktadır. Kimlik doğrulanmamış hata dalı, geçerli bir anahtarı olmayan yönetici dışındaki çağrıları reddetmek için tasarlanmıştır ancak reddetme mesajı, die() fonksiyonundan önce beklenen anahtarı eklemektedir. Kurban, uzak bir cloneSiteURL ile CloneSite yapılandırdığında (standart federasyon/yedekleme kurulumu), sızdırılan myKey tam olarak kurbanın o uzak sunucunun cloneServer.json.php dosyasına erişimini sağlayan kimlik bilgisidir; bu durum saldırganın kurbanın kimliğine bürünmesine ve uzak sunucunun veritabanının tamamının mysqldump ile uzak sunucunun herkese açık videos/clones/ dizinine aktarılmasını tetiklemesine olanak tanır. e6566f56a28f4556b2a0a09d03717a719dcb49da commit'i güncellenmiş bir düzeltme içermektedir.