CVE-2026-43884

Yüksek

Açıklama

WWBN AVideo açık kaynaklı bir video platformudur. 29.0 sürümü dahil önceki sürümlerde, AVideo içindeki iki uç nokta (plugin/AI/receiveAsync.json.php ve objects/EpgParser.php), kullanıcı tarafından sağlanan URL'leri doğrulamak için isSSRFSafeURL() fonksiyonunu çağırır ve ardından PHP'nin otomatik yönlendirme takibini devre dışı bırakmadan yalın file_get_contents() kullanarak bu URL'leri getirir. Bir saldırgan, dahili veya bulut meta veri adresine (örneğin, http://169.254.169.254/latest/meta-data/) 302 yönlendirmesi döndüren, kendi kontrolündeki bir sunucuya işaret eden bir URL sağlayabilir. isSSRFSafeURL() yalnızca başlangıç URL'sini doğruladığından, yönlendirme hedefi tüm SSRF korumalarını atlatır. Commit 603e7bf77a835584387327e35560262feb075db3 güncellenmiş bir düzeltme içerir.

ÖnemYüksek

CVSS7.7

İstismar olasılığı29. yüzdelik%0,3

ÜrünWwbn/avideo

Yayın11 May 2026

İlk görülme11 May 2026

Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
wwbn/avideoPackagist	v ≤ 29.0	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.