CVE-2026-43874

WWBN AVideo açık kaynaklı bir video platformudur. 29.0 sürümü dahil önceki sürümlerde, YPTSocket autoEvalCodeOnHTML eval sink'ine yönelik sunucu tarafı hafifletme önlemi (CVE-2026-40911 kaynaklı), yükü yalnızca $json['msg'] altında olduğunda temizlemektedir; ancak relay fonksiyonu olan msgToResourceId(), giden mesajı $msg['msg']'den önce $msg['json'] üzerinden seçmektedir. Kimliği doğrulanmamış bir saldırgan, plugin/YPTSocket/getWebSocket.json.php adresinden bir WebSocket belirteci elde edebilir, WebSocket sunucusuna bağlanabilir ve üst düzey bir json alanı altına yerleştirilmiş autoEvalCodeOnHTML içeren bir mesaj gönderebilir; bu durumda temizleme dalı atlanır, relay yükü to_users_id ile tanımlanan herhangi bir oturum açmış kullanıcıya olduğu gibi iletir ve istemci betiği bunu eval() aracılığıyla çalıştırır. Commit 9f3006f9a89a34daa67a83c6ad35f450cb91fcce güncellenmiş bir düzeltme içermektedir.