PT-2026-26000
CVE-2026-33043
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-03-22
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AVideo الإصدارات 25.0 وما دونها
الوصف
يوجد في AVideo، وهي منصة فيديو مفتوحة المصدر، مشكلة تتمثل في أن نقطة النهاية
/objects/phpsessionid.json.php تكشف معرّف جلسة PHP الحالية لأي طلب غير مصدق. تقوم الدالة allowOrigin() بإرجاع أي رأس Origin في Access-Control-Allow-Origin مع Access-Control-Allow-Credentials: true، مما يتيح سرقة الجلسة عبر الأصول والاستيلاء الكامل على الحساب. يمكن للمهاجم استضافة صفحة خبيثة، بحيث تقوم، عند زيارة مستخدم AVideo مسجل الدخول لها، بسرقة معرّف جلسة PHP الخاص به بسبب سياسة CORS المتساهلة. وهذا يسمح للمهاجم بانتحال صفة المستخدم بامتيازات كاملة. الملف المعرض للثغرة هو objects/phpsessionid.json.php، والدالة المعرضة للثغرة هي allowOrigin(). توجد الدالة allowOrigin() في ملف objects/functions.php (السطر ~2648). تسمح هذه الثغرة للمهاجم بإجراء طلب عبر الأصول مصحوب ببيانات اعتماد وقراءة معرف الجلسة.التوصيات
يجب تحديث الإصدارات الأقدم من 26.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾