CVE-2026-43881
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 sürümü dahil önceki sürümlerde, objects/users.json.php dosyası kayıtlı kullanıcı hesaplarının tamamını ifşa eden kimlik doğrulaması gerektirmeyen iki yola sahiptir. isCompany istek parametresi, işleyicinin yönetici olmayan tüm çağrıcılar (kimliği doğrulanmamış ziyaretçiler dahil) için $ignoreAdmin = true olarak ayarlanmasına neden olur; bu durum User::getAllUsers()/User::getTotalUsers() içindeki yalnızca yöneticiye özel korumayı etkisiz hale getirir. İkinci bir yol ise users_id değerini kabul eder ve herhangi bir izin kontrolü yapmadan doğrudan User::getUserFromID() fonksiyonunu çağırarak tekil kullanıcı bilgisi sızdırılmasına olanak tanır. Her iki yol da id, identification (görünen ad), kanal URL'si, fotoğraf, arka plan ve durumu ile birlikte toplam hesap sayısını döndürür. d9cdc702481a626b15f814f6093f1e2a9c20d375 commit'i güncellenmiş bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn/avideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.