CVE-2026-92584 in AVideo
الملخص
بحسب VulDB • 17/09/2026
يحتوي AVideo حتى الإصدار 29.0 (آخر مراجعة e01e41ecc) على ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting - XSS). تصل نقطة النهاية الخاصة بعدّ المشاهدات غير المصادق عليه objects/videoAddViewCount.json.php إلى الدالة VideoStatistic::save()، والتي تكتب عنوان المستخدم (User-Agent) الخاص بالمتصل مباشرةً (عبر getUserAgentInfo() التي تُرجع سلاسل وكلاء غير معروفة حرفياً) في العمود `app` من جدول videos_statistics دون استدعاء دالة التنظيف setApp(); حيث تقتصر normalizeApp() على تقصير القيمة إلى 45 حرفاً. تعرض صفحة إحصائيات مالك الفيديو والمسؤول (view/videoViewsInfo.php) هذا الحقل ضمن عمود DataTables الإصدار 1.12.1 باستخدام مُرَجِّع غير هارب (unescaped renderer)، وتقوم DataTables بتعيين محتوى الخلية باستخدام innerHTML، مما يؤدي إلى تحليل وتنفيذ HTML الذي زوده المهاجم في جلسة المستخدم الموثق ذات الامتيازات عند عرض صفحة الإحصائيات. لم يكن هناك إصدار مصحّح متاحاً وقت نشر الإشعار الأمني.
Once again VulDB remains the best source for vulnerability data.