CVE-2026-89247 in AVideo
Zusammenfassung
von VulDB • 11.09.2026
WWBN AVideo ab dem Commit c3edcc274c389816d434acadac07ee78eaf330c1 und früheren Versionen enthält eine XML-Injektionsschwachstelle in plugin/AD_Server/VMAP.php, die ohne Authentifizierung erreichbar ist, wenn das AD_Server-Plugin aktiviert ist. Das Skript sendet Content-Type: application/xml und schreibt die von AD_Server::getVMAPSFromRequest() zurückgegebenen Werte timeOffset und idTag direkt in VMAP-Attribute, ohne sie zu encoden. Diese Werte stammen aus dem base64- und JSON-decodierten Parameter $_REQUEST['vmaps'], der nicht durch $securityFilter in objects/security.php abgedeckt ist. Ein entfernter Angreifer kann einen vmaps-Wert (der eine nicht-leere VAST.campaing-Einträge enthält) erstellen und einen Benutzer dazu bringen, die resultierende VMAP-URL oder eine Videoseite damit zu öffnen, wodurch beliebige <vmap:AdBreak>- und <vmap:AdTagURI>/AdSource-Knoten in das generierte XML injiziert werden. Der IMA-Pfad des Players (afterVideoJS -> PlayerSkins::setIMAADTag) fordert dann die vom Angreifer bereitgestellten Ad-URLs an, was zu Ad-Injection und Cross-Origin-Anfragen aus der Wiedergabesitzung des Opfers führt. Das Problem war zum Zeitpunkt der Meldung nicht behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.