- Yama var
- Son 7 gün
- CWE-918
CVE-2026-114634
WWBN AVideo'da Yönlendirme Üzerinden Kör SSRF Açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
WWBN AVideo'nun 29.4.0 öncesi sürümleri, getHeaderContentTypeFromURL fonksiyonunda kör sunucu taraflı istek sahteciliği (SSRF) açığı içermektedir. Bunun nedeni, get_headers fonksiyonunun yönlendirmeleri takip etmesi ve hedefleri isSSRFSafeURL ile yeniden doğrulamamasıdır. Kimliği doğrulanmış yükleyiciler, bir yönlendiriciye işaret eden bir videoLink kaydedebilir; ziyaretçiler videoyu görüntülediğinde bu, dahili GET istekleri oluşturulmasına neden olur. Bu durum, gömülü (embed) ve video render işlemleri arasındaki farkı ölçen bir yan kanal aracılığıyla dahili port taramasına olanak tanır.
Kaynaktaki açıklama (İngilizce)
WWBN AVideo before 29.4.0 contains a blind server-side request forgery vulnerability in getHeaderContentTypeFromURL() because get_headers() follows redirects without re-validating targets with isSSRFSafeURL(). Authenticated uploaders can store a videoLink pointing to a redirector, causing internal GET requests when visitors view the video, enabling internal port scanning via the embed-versus-video render oracle.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WWBN AVideo | < 29.4.0 | 29.4.0 |
| 29.4.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.