GHSA-8x4m-qw58-3pcx: टेम्पो में गंभीर सुरक्षा खामियां, संस्करण 0.4.8 से ठीक

AVideo में CVE-2026-33035 एक प्रतिबिंबित XSS भेद्यता के कारण एक महत्वपूर्ण सुरक्षा जोखिम प्रस्तुत करता है। एक गैर-प्रमाणित हमलावर URL पैरामीटर के माध्यम से दुर्भावनापूर्ण JavaScript कोड इंजेक्ट कर सकता है, जो तब पीड़ित के ब्राउज़र में निष्पादित होता है। यह AVideo द्वारा उपयोगकर्ता इनपुट को संभालने के तरीके का फायदा उठाकर प्राप्त किया जाता है, विशेष रूप से json_encode() के माध्यम से इनपुट को पारित करके और फिर उचित एन्कोडिंग के बिना innerHTML के साथ रेंडर करके। सफाई की कमी से इंजेक्ट किया गया JavaScript कोड निष्पादित हो सकता है, जिससे उपयोगकर्ता और सिस्टम जानकारी की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है। प्रभाव Cookie और क्रेडेंशियल की चोरी से लेकर दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट करने या पृष्ठ सामग्री को संशोधित करने तक भिन्न हो सकता है।

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-17
3. संशोधित2026-03-20
4. EPSS अद्यतन2026-03-27

CVE-2026-33035 को कम करने के लिए, JavaScript कोड में उनका उपयोग करने से पहले सभी उपयोगकर्ता इनपुट को पूरी तरह से मान्य और एन्कोड करने की सिफारिश की जाती है। विशेष रूप से, videoNotFound.php फ़ाइल में, सुनिश्चित करें कि URL पैरामीटर इनपुट को json_encode() में पारित करने से पहले और महत्वपूर्ण रूप से innerHTML में उपयोग करने से पहले ठीक से एस्केप किया गया है। कंटेंट सिक्योरिटी पॉलिसी (CSP) को लागू करने से भी XSS हमले के प्रभाव को कम करने में मदद मिल सकती है, जिससे स्क्रिप्ट लोड किए जा सकने वाले स्रोतों को प्रतिबंधित किया जा सकता है। अंत में, जल्द से जल्द AVideo को पैच किए गए संस्करण (26.0) में अपडेट करने की सिफारिश की जाती है।

अंतिम अपडेट

29.0हाल ही में