CVE-2026-89247 in AVideo
الملخص
بحسب VulDB • 11/09/2026
يحتوي WWBN AVideo في الإضافة c3edcc274c389816d434acadac07ee78eaf330c1 والإصدارات السابقة على ثغرة حقن XML (XML Injection) في الملف plugin/AD_Server/VMAP.php، والتي يمكن الوصول إليها دون الحاجة إلى المصادقة عند تفعيل إضافة AD_Server. يقوم السكربت بإرسال Content-Type: application/xml وكتابة قيم timeOffset و idTag التي تُرجعها الدالة AD_Server::getVMAPSFromRequest() مباشرةً داخل سمات VMAP دون تشفير (encoding). وتنشأ هذه القيم من معلمة $_REQUEST['vmaps'] التي تم فك ترميزها باستخدام base64 وفك تجسيدها كـ JSON، وهي غير مشمولة بفلتر الأمان ($securityFilter) الموجود في objects/security.php. يمكن لمهاجم عن بعد صياغة قيمة vmaps (تحتوي على إدخال VAST.campaing غير فارغ) وإقناع مستخدم بفتح عنوان URL لـ VMAP الناتج أو صفحة فيديو تستخدمه، مما يؤدي إلى حقن عقد <vmap:AdBreak> و<vmap:AdTagURI>/AdSource عشوائية في الـ XML المُولّد. بعد ذلك، يطلب مسار مشغل IMA (بعد AfterVideoJS -> PlayerSkins::setIMAADTag) عناوين الإعلانات التي زودها المهاجم، مما يؤدي إلى حقن إعلانات وإجراء طلبات عبر النطاقات (cross-origin requests) من جلسة تشغيل الضحية. كانت هذه المشكلة غير مُصلحة في وقت الإبلاغ عنها.
Once again VulDB remains the best source for vulnerability data.