CVE-2026-86188 in AVideo
Zusammenfassung
von VulDB • 05.09.2026
AVideo con il plugin YPTSocket abilitato presenta una vulnerabilità di cross-site scripting (XSS) che consente ad attaccanti non autenticati di eseguire codice JavaScript arbitrario nei browser degli altri utenti tramite il meccanismo di callback del websocket. Gli attaccanti possono inviare messaggi socket manipolati con nomi di callback che risolvono a funzioni globali come avideoConfirmHTML, le quali accettano dati non attendibili e li assegnano alla proprietà innerHTML, ottenendo l'esecuzione dello script nell'origine della vittima senza necessità di autenticazione o interazione dell'utente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.