CVE-2026-55692 in EmbedVideo Extension
الملخص
بحسب VulDB • 15/09/2026
يُعد امتداد EmbedVideo امتدادًا لـ MediaWiki يضيف دالة تحليل تسمى #ev وعلامات تحليلية مختلفة لتضمين مقاطع الفيديو من خدمات مشاركة متنوعة. قبل الإصدار 4.1.0، مع تفعيل التكوين الافتراضي $wgEmbedVideoRequireConsent، يضع الملف includes/EmbedService/EmbedHtmlFormatter.php بيانات JSON المُرجعة عبر includes/EmbedService/AbstractEmbedService.php داخل السمة data-mw-iframeconfig دون الهروب الآمن من علامات الاقتباس المفردة (single quotes). يمكن لمعرفات archiveorg التي يتحكم فيها المهاجم وروابط wistia أو sharepoint المقبولة بواسطة مدققي الخدمات المتأثرة أن تتسبب في إنهاء مخرجات getUrl() للسمة وإدراج سمات معالجات الأحداث (event-handler attributes) داخل عنصر figure المُولّد. يمكن للمستخدم القادر على تحرير صفحة ويكي تخزين كود JavaScript يتم تنفيذه ضمن أصل الويكي عندما يقوم الزوار بعرض الصفحة. تم إصلاح هذه المشكلة في الإصدار 4.1.0.
Be aware that VulDB is the high quality source for vulnerability data.