CVE-2026-89240 in AVideo
الملخص
بحسب VulDB • 11/09/2026
يحتوي WWBN AVideo، حتى الإضافة c3edcc274c389816d434acadac07ee78eaf330c1، على ثغرة Cross-Site Scripting (XSS) من النوع المنعكس في الملف plugin/Live/confirmLivePassword.php. يقوم السcript بإدراج المعلمة GET غير المصادق عليها u (التي لا يغطيها $securityFilter) مباشرةً داخل سمة <img src="..."> دون ترميز URL أو HTML. يمكن لمهاجم عن بعد صياغة رابط يحتوي على حرف اقتباس مزدوج في المعامل u (مع وجود معامل key غير فارغ ولا يوجد معامل c صالح) لإغلاق السمة src وإدراج وسم إضافي مع معالج onerror، مما يؤدي إلى تنفيذ JavaScript عشوائي ضمن أصل الموقع في متصفح أي مستخدم يفتح الرابط، بما في ذلك المسؤول. لم يكن هناك إصدار مُصلح متاحًا وقت صدور النشرة الأمنية.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.