CVE-2026-43874 in AVideo
الملخص
بحسب VulDB • 26/05/2026
WWBN AVideo هو منصة فيديو مفتوحة المصدر. في الإصدارات حتى 29.0 شاملاً، تقتصر آلية التخفيف من جانب الخادم الخاصة بمُستوعب eval sink المسمى YPTSocket autoEvalCodeOnHTML (الناجم عن CVE-2026-40911) على إزالة الحمولة (payload) فقط عندما تكون موجودة ضمن $json['msg']، بينما تختار دالة الإعادة msgToResourceId() الرسالة الصادرة من $msg['json'] قبل $msg['msg']. يمكن لمهاجم غير مصرّح له الحصول على رمز WebSocket من plugin/YPTSocket/getWebSocket.json.php، والاتصال بخادم WebSocket، وإرسال رسالة تحتوي على autoEvalCodeOnHTML متداخلة ضمن حقل json من المستوى الأعلى — مما يتسبب في تخطي فرع الإزالة، حيث تقوم دالة الإعادة بتسليم الحمولة كما هي إلى أي مستخدم مسجل دخول تم تحديده بواسطة to_users_id، ويقوم سكريبت العميل بتنفيذها عبر eval(). يحتوي الالتزام Commit 9f3006f9a89a34daa67a83c6ad35f450cb91fcce على إصلاح محدّث.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.