CVE-2026-33500 in AVideo
Zusammenfassung
von VulDB • 29.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In Versionen bis einschließlich 26.0 führte die Korrektur für CVE-2026-27568 (GHSA-rcqw-6466-3mv7) zur Einführung einer benutzerdefinierten `ParsedownSafeWithLinks`-Klasse, die rohes HTML `<a>`- und `<img>`-Tags in Kommentaren bereinigt, jedoch Parsedowns `safeMode` explizit deaktiviert. Dies erzeugt eine Umgehung: Die Markdown-Link-Syntax `[text](javascript:alert(1))` wird von der `inlineLink()`-Methode von Parsedown verarbeitet, die nicht die benutzerdefinierte `sanitizeATag()`-Bereinigung durchläuft (die nur rohe HTML-Tags behandelt). Bei deaktiviertem `safeMode` ist auch die integrierte `javascript:`-URI-Filterung von Parsedown (`sanitiseElement()`/`filterUnsafeUrlInAttribute()`) inaktiv. Ein Angreifer kann über Markdown-Links in Kommentaren eine gespeicherte XSS-Schwachstelle (Stored XSS) injizieren. Der Commit 3ae02fa240939dbefc5949d64f05790fd25d728d enthält einen Patch.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.