AVideo'da CVSS 9.8'lik açık, sosyal girişte görünen ad üzerinden yönetici hesabı ele geçirilebiliyor
Açık kaynak video platformu WWBN AVideo'nun 6.5–29.7.1 sürümlerinde, Hybridauth sosyal giriş akışı parolasız şekilde mevcut hesaba bağlanabiliyor (CVE-2026-126542). Düzeltme 9 Kasım commit'inde; etiketli yamalı sürüm henüz yok.
CVE-2026-126542
Kendi sunucusunda video paylaşım ve canlı yayın sitesi kurmak için kullanılan açık kaynak WWBN AVideo'da kritik bir authentication bypass açığı yayımlandı. NVD'ye 11 Kasım'da giren CVE-2026-126542 (CVSS 3.1: 9.8, CVSS 4.0: 9.3), platformun Hybridauth tabanlı sosyal giriş özelliğinden kaynaklanıyor ve 6.5'ten 29.7.1'e kadar tüm sürümleri kapsıyor.
Proje bildirimine göre X, Facebook, Yahoo ya da LinkedIn ile giriş yapıldığında, sağlayıcı e-posta adresi döndürmezse AVideo kullanıcının sağlayıcıdaki görünen adını yerel kullanıcı adı olarak kullanıyor ve aynı ada sahip mevcut hesaba parola kontrolü yapmadan oturum açıyor. Görünen ad sağlayıcı tarafında kullanıcının kendi seçtiği bir değer olduğu için, kimliği doğrulanmamış bir saldırgan yönetici dahil herhangi bir hesabın oturumunu alabiliyor. Açık CISA KEV kataloğunda değil; aktif istismar bildirimi de yok.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| WWBN AVideo | 6.5 – 29.7.1 | Etiketli sürüm yok; düzeltme 9 Kasım tarihli d34ccf2 commit'inde |
Projenin son etiketli sürümü 9 Kasım'da yayımlanan v29.7.1 ve bu sürüm etkilenenler arasında. Proje bildirimi yamalı değer olarak d34ccf23b37a… commit'ini gösteriyor. Yeni sürüm için AVideo sürüm sayfasını takip edin.
Beni etkiliyor mu?
- AVideo 6.5 veya üstünü çalıştırıyor ve sosyal giriş (Login with X, Facebook, Yahoo, LinkedIn) eklentilerinden birini açtıysanız etkileniyorsunuz. Mobil uygulama için kullanılan MobileManager eklentisindeki OAuth akışı da bildirimde etkilenen bileşen olarak geçiyor.
- Hangi giriş eklentilerinin açık olduğunu yönetim panelinde Menü › Plugins ekranından görebilirsiniz.
- Çalışan sürümü yönetim panelinde gösterilen sürüm numarasından okuyun; 29.7.1 veya altıysa ve kurulumunuz 9 Kasım sonrası ana daldan alınmadıysa düzeltme sizde yok.
- Sitenizin giriş sayfasında sosyal giriş butonları görünüyorsa, ilgili eklenti açık demektir.
Ne yapılmalı?
- Düzeltmeyi içeren koda geçin:
d34ccf2commit'i ya da onu içeren ilk etiketli sürüm. Güncellemeyi change management sürecinizle ve öncesinde yedek alarak yapın. - Hemen güncelleyemiyorsanız, workaround olarak yönetim panelinden X, Facebook, Yahoo ve LinkedIn giriş eklentilerini geçici olarak kapatın; kullanıcılar yerel hesapla giriş yapsın.
- Yönetici hesaplarının son oturum açma kayıtlarını ve sosyal girişle bağlanmış hesapları gözden geçirin; tanımadığınız bir oturum, yeni yönetici ya da değişen ayar varsa olay müdahalesi başlatın.
- Yönetici kullanıcı adlarını tahmin edilmesi zor hale getirmek ve panel erişimini bilinen IP aralıklarıyla sınırlamak gibi hardening adımlarını değerlendirin.
