CVE-2026-89253 in AVideo
الملخص
بحسب VulDB • 11/09/2026
يحتوي WWBN AVideo، حتى الإضافة c3edcc274c389816d434acadac07ee78eaf330c1، على ثغرة برمجية لتخزين هجمات البرمجة عبر المواقع (Stored Cross-Site Scripting) في حقل الملف الشخصي 'donationLink'. تقوم الدالة User::setDonationLink() (في objects/user.php) بتخزين القيمة وتقوم دالة save() بالتحقق منها باستخدام filter_var(..., FILTER_VALIDATE_URL) فقط، والتي تقبل سلاسل نصية مثل http://evil.example/"onmouseover=alert(document.domain)//. بينما تطبق الدالة getDonationLink() مجرد strip_tags() ولا تقوم بترميز علامات الاقتباس المزدوجة. وتقوم plugin/CustomizeUser/actionButton.php بطباعة القيمة دون ترميز داخل سمة <a href="...">، ويتم تضمين هذا الزر من view/modeYoutubeBottom.php في صفحة المشاهدة عند تفعيل خيار CustomizeUser allowDonationLink. وبالتالي، يمكن لمستخدم مُصادق عليه (authenticated user) يقوم بتحديث ملفه الشخصي الخاص عبر objects/userUpdate.json.php أن يخرج من سمة href ويحقن معالج أحداث (event handler) ينفذ شفرة JavaScript على متصفح أي زائر - بما في ذلك المسؤول (administrator) - الذي يشاهد مقاطع الفيديو الخاصة بالهاجم ويتفاعل معها (على سبيل المثال، يمرر المؤشر فوق الزر الخاص بالتبرع). كانت هذه المشكلة غير مُصلحة عند وقت الإبلاغ.
Once again VulDB remains the best source for vulnerability data.