CVE-2026-33352
KrytyczneStreszczenie
WWBN AVideo to otwarta platforma wideo. Przed wersją 26.0 występuje podatność na nieautoryzowaną injekcję SQL w pliku `objects/category.php` w metodzie `getAllCategories()`, gdzie parametr `doNotShowCats` jest niewłaściwie sanitizowany.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do ujawnienia danych lub kompromitacji systemu. Organizacje powinny być świadome ryzyka związanego z nieaktualnymi wersjami oprogramowania.
Rekomendacja
Zaleca się aktualizację do wersji 26.0 lub nowszej, która zawiera poprawkę dla tej podatności. Dodatkowo, warto przeprowadzić audyt zabezpieczeń aplikacji, aby zminimalizować ryzyko podobnych luk.
Powiązane podatności
- CVE-2026-7826Krytyczne
Podatność w FalkorDB przed wersją 4.18.4 powoduje odczyt poza granicami pamięci sterty w funkcji BufferSerializerIOv2_ReadBuffer. Zdalny atakujący, który może wydawać polecenia replikacji Redis (np. gdy instancja nie ma skonfigurowanego hasła), może wysłać spreparowany strumień RDB z polem długości pod-bufora przekraczającym pozostały rozmiar bufora. Jedyna kontrola granic to ASSERT(), który jest kompilowany w wersjach release, więc memcpy() czyta poza przydzieloną pamięcią.
- CVE-2026-5759Krytyczne
Podwójne zwolnienie i użycie po zwolnieniu w funkcji RdbLoadDeletedNodes w dekoderach grafów RDB w FalkorDB przed wersją 4.18.1. Zdalny atakujący, który może wydawać polecenia replikacji Redis, może wysłać spreparowany strumień RDB, w którym długość bufora usuniętych węzłów nie jest wielokrotnością sizeof(NodeID). Kontrola długości opiera się na ASSERT(), który jest pomijany w wersjach release, więc funkcja kontynuuje po zwolnieniu bufora, czyta go i zwalnia ponownie.
- CVE-2026-96207Krytyczne
Nieprawidłowa walidacja certyfikatów w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-94510Krytyczne
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Microsoft Bookings pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-88131Krytyczne
Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-77900Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-69435Krytyczne
Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. Prior to version 26.0, an unauthenticated SQL injection vulnerability exists in `objects/category.php` in the `getAllCategories()` method. The `doNotShowCats` request parameter is sanitized only by stripping single-quote characters (`str_replace("'", '', ...)`), but this is trivially bypassed using a backslash escape technique to shift SQL string boundaries. The parameter is not covered by any of the application's global input filters in `objects/security.php`. Version 26.0 contains a patch for the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS