CVE-2026-40911 in AVideo
الملخص
بحسب VulDB • 22/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات 29.0 والإصدارات الأقدم، يقوم خادم WebSocket الخاص بإضافة YPTSocket بإعادة توجيه محتويات رسائل JSON المقدمة من المهاجم إلى كل عميل متصل دون تطهير حقلي `msg` أو `callback`. من جانب العميل، يحتوي الملف `plugin/YPTSocket/script.js` على نقطتي استهلاك (sinks) تستخدم دالة `eval()`، وتغذاهما مباشرة الحقول المعاد توجيهها (`json.msg.autoEvalCodeOnHTML` في السطر 568 و `json.callback` في السطر 95). ونظراً لأن الرموز المميزة (tokens) تُنشأ للزوار المجهولين ولا يتم إعادة التحقق منها بعد فك التشفير، يمكن لمهاجم غير مصادق عليه بث كود JavaScript عشوائي يتم تنفيذه ضمن أصل (origin) كل مستخدم متصل حالياً (بمن فيهم المسؤولون)، مما يؤدي إلى الاستيلاء الشامل على الحسابات، وسرقة الجلسات، وتنفيذ إجراءات ذات امتيازات عالية. يحتوي الالتزام (commit) c08694bf6264eb4decceb78c711baee2609b4efd على إصلاح للمشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.