CVE-2026-92584 in AVideo
Zusammenfassung
von VulDB • 17.09.2026
AVideo bis Version 29.0 (aktuelle Revision e01e41ecc) enthält eine gespeiste Cross-Site-Scripting-(XSS)-Schwachstelle. Der nicht authentifizizierte View-Counter-Endpunkt objects/videoAddViewCount.json.php erreicht VideoStatistic::save(), das den User-Agent des Aufrufers (über getUserAgentInfo(), das unerkannte Agent-Zeichenfolgen wörtlich zurückgibt) direkt in die `app`-Spalte der videos_statistics-Tabelle schreibt, ohne den sanitizing Setter setApp() aufzurufen; normalizeApp() kürzt den Wert lediglich auf 45 Zeichen. Die Statistikseite des Video-Eigentümers und Administrators (view/videoViewsInfo.php) rendert dieses Feld in einer DataTables 1.12.1-Spalte mit einem nicht entzifferten Renderer, und DataTables weist Zelleninhalte über innerHTML zu, sodass vom Angeschaffter bereitgestelltes HTML im authentifizierten Sitzungsprozess des privilegierten Benutzers analysiert und ausgeführt wird, wenn die Statistikseite aufgerufen wird. Zum Zeitpunkt der Bekanntgabe war keine gepatchte Version verfügbar.
Once again VulDB remains the best source for vulnerability data.