CVE-2026-86188
Açıklama
YPTSocket eklentisi etkinleştirilmiş AVideo, kimlik doğrulaması yapmamış saldırganların websocket geri çağırma mekanizması aracılığıyla diğer kullanıcıların tarayıcılarında rastgele JavaScript yürütmesine olanak tanıyan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, güvenilmeyen verileri kabul eden ve bunları innerHTML'e atayan avideoConfirmHTML gibi küresel fonksiyonlara çözümlenen geri çağırma adlarına sahip özel olarak hazırlanmış soket mesajları göndererek, kimlik doğrulaması veya kullanıcı etkileşimi olmaksızın kurbanın kaynağında betik çalıştırabilirler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| WWBN AVideo | v ≤ 29.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.