CVE-2026-43880
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 sürümü dahil önceki sürümlerde, objects/sendEmail.json.php dosyası contactForm=1 parametresinin gönderilip gönderilmediğine bağlı olarak iki farklı dal sunmaktadır. Parametre eksik olduğunda, uç nokta $sendTo değişkenini saldırgan tarafından sağlanan bir e-posta adresiyle ayarlar ve kimliği doğrulanmamış çağrılar için sitenin kendi iletişim e-postasını mesajın From:/Reply-To: alanı olarak kullanır. Uç nokta, objects/functionsSecurity.php dosyasında (satır 885) açıkça bir "public write action" olarak izinli listeye alınmıştır, bu nedenle herhangi bir kimlik doğrulama veya CSRF belirteci gerektirmez. Kimliği doğrulanmamış bir saldırgan (captcha çözerek), sitenin kendi SMTP altyapısını zorlayarak, sitenin meşru gönderici adresiyle rastgele alıcılara saldırgan tarafından oluşturulmuş e-postalar gönderebilir; bu durum sitenin alan adı için SPF/DKIM/DMARC kontrollerinden geçmesini sağlar ve hedefli kimlik avı ile marka taklidi için idealdir. 4e3709895857a5857f0edb46b0ee984de0d9e1a2 commit'i güncellenmiş bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.