CVE-2026-47696
Açıklama
WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve önceki sürümlerde, plugin/AuthorizeNet/processPayment.json.php dosyası, oturum açmış kullanıcının cüzdanına yalnızca saldırgan tarafından kontrol edilen amount POST parametresine dayanarak kredi eklemektedir. Uç nokta, gerçek Authorize.Net tahsilatı için bir TODO içermekte, $paymentSuccess = true değerini sabit olarak tanımlamakta ve ardından herhangi bir Authorize.Net işlemi, webhook imzası, barındırılan ödeme belirteci (hosted payment token), nonce veya sunucu tarafı ödeme kaydını doğrulamadan YPTWallet::addBalance() fonksiyonunu çağırmaktadır. Bu durum, AuthorizeNet ve YPTWallet eklentileri etkinleştirildiğinde, oturum açmış herhangi bir kullanıcının kendi AVideo cüzdanına rastgele miktarda bakiye eklemesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wwbn avideo | v ≤ 29.0 | — |
| WWBN/AVideoPackagist | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.