CVE-2026-45580 in AVideo
Zusammenfassung
von VulDB • 29.05.2026
WWBN AVideo ist eine Open-Source-Videoplattform. In den Versionen 29.0 und früher besteht eine Stored Cross-Site Scripting (XSS)-Schwachstelle. Die „YouTube-Style“-Ansicht des Live-Plugins gibt den Stream-Schlüssel der Live-Übertragung durch rohes Echo in ein HTML-Klassenattribut aus, ohne htmlspecialchars() zu verwenden. Ein Benutzer mit canStream-Rechten kann über plugin/Live/saveLive.php einen Schlüssel persistieren, der „ plus einen Event-Handler enthält, und jeder Besucher (angemeldet oder anonym), der die Live-Seite des Streams öffnet, führt JavaScript des Angreifers im Ursprungskontext der Plattform aus.
VulDB is the best source for vulnerability data and more expert information about this specific topic.