PT-2026-26772
CVE-2026-33485
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WWBN AVideo حتى الإصدار 26.0 ضمناً
الوصف
تفتقر دالة الاستدعاء RTMP
on publish الموجودة في ملف plugin/Live/on publish.php إلى المصادقة. يتم دمج المعلمة $ POST[’name‘]، التي تمثل مفتاح البث، مباشرةً في استعلامات SQL داخل الدالتين LiveTransmitionHistory::getLatest() وLiveTransmition::keyExists() دون تنقية مناسبة أو ربط معلمي. وهذا يسمح لمهاجم غير مصدق عليه بتنفيذ حقن SQL أعمى قائم على الوقت، مما قد يؤدي إلى استخراج جميع محتويات قاعدة البيانات، بما في ذلك تجزئات كلمات مرور المستخدمين وعناوين البريد الإلكتروني والبيانات الحساسة الأخرى. التطهير غير الكافي في السطر 117 من ملف plugin/Live/on publish.php يزيل فقط الأحرف ’&‘ و ’=‘. ولا توفر الدالة sqlDAL::readSql() الحماية عند استدعائها بدون معلمات التنسيق/القيم، حيث إنها تقوم بتجميع جملة SQL المحقونة مباشرةً. ويمكن استغلال الثغرة من خلال طلبات curl مصممة خصيصًا، بالاستفادة من نقاط الحقن لاستخراج البيانات حرفًا حرفًا. يمكن للمهاجم أن يقوم بالمصادقة كأي مستخدم في نظام البث باستخدام تجزئات كلمات المرور المستخرجة.التوصيات
الإصدارات حتى الإصدار 26.0 ضمناً: استخدم استعلامات معلمة في الدالة
LiveTransmition::keyExists() الموجودة في plugin/Live/Objects/LiveTransmition.php:298-303.الإصدارات حتى الإصدار 26.0 ضمناً: استخدم استعلامات معلمة في الدالة
LiveTransmitionHistory::getLatest() الموجودة في `plugin/Live/Objects/LiveTransقابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾