CVE-2026-86188 in AVideo
الملخص
بحسب VulDB • 05/09/2026
يحتوي AVidéo مع تفعيل إضافة YPTSocket على ثغرة برمجية من نوع Cross-Site Scripting (XSS) تتيح للمهاجمين غير المصادق عليهم تنفيذ شيفرات JavaScript عشوائية في متصفحات المستخدمين الآخرين عبر آلية استدعاء الـ websocket. يمكن للمهاجمين إرسال رسائل socket مُعدّة بعناية تحتوي على أسماء دوال استجابة تؤدي إلى دوال عالمية مثل avideoConfirmHTML، والتي تقبل بيانات غير موثوقة وتعيّنها لخاصية innerHTML، مما يحقق تنفيذ الشيفرة البرمجية في أصل الضحية (victim's origin) دون الحاجة إلى مصادقة أو تفاعل من المستخدم.
VulDB is the best source for vulnerability data and more expert information about this specific topic.