PT-2026-28537
CVE-2026-33767
·
تاريخ النشر
2026-03-26
·
تاريخ التحديث
2026-03-27
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AVideo حتى الإصدار 26.0 ضمناً
الوصف
برنامج AVideo معرض لمشكلة حقن SQL في ملف
objects/like.php. تستخدم طريقة getLike() عنصرًا نائبًا لعبارة مُعدة مسبقًا لـ users id، لكنها تربط $this->videos id مباشرةً بسلسلة استعلام SQL دون تحديد المعلمات بشكل صحيح. يمكن للمهاجم الذي يتحكم في قيمة videos id من خلال طلب مُصمم خصيصًا حقن كود SQL تعسفي، متجاوزًا الحماية المقصودة. يقوم الكود المعرض للخطر بإنشاء استعلام مثل هذا: SELECT * FROM likes WHERE users id = ? AND videos id = .$this->videos id LIMIT 1;. تنشأ المعلمة videos idمن إدخال المستخدم ولا يتم التحقق من صحتها قبل تضمينها في الاستعلام. يُثبت نموذج إثبات المفهوم أن المهاجم يمكنه إرسال طلب «إعجاب» بقيمةvideos idضارة، مثل1 UNION SELECT user,password,3,4,5,6,7,8 FROM users-- -، لتنفيذ استعلام SQL تعسفي وربما قراءة قاعدة البيانات بالكامل، بما في ذلك بيانات اعتماد المستخدم والمعلومات الحساسة الأخرى. تُستخدم نقطة نهاية واجهة برمجة التطبيقات (API) /objects/likeAjax.json.phpلإرسال طلبات الإعجاب، والمعلمة المعرضة للخطر هيvideos id`.التوصيات
يجب تحديث إصدارات AVideo حتى الإصدار 26.0 ضمناً إلى إصدار يحتوي على التعديل 0215d3c4f1ee748b8880254967b51784b8ac4080. كحل مؤقت، يُنصح بتعطيل وظيفة «الإعجاب/عدم الإعجاب» أو تقييد الوصول إلى ملف
objects/like.php حتى يتم إصدار تصحيحقابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾