CVE-2026-40911 in AVideo
Resumen
por VulDB • 2026-05-13
WWBN AVideo es una plataforma de vídeo de código abierto. En las versiones 29.0 y anteriores, el servidor WebSocket del plugin YPTSocket retransmite los cuerpos de mensajes JSON proporcionados por el atacante a todos los clientes conectados sin sanitizar los campos `msg` ni `callback`. En el lado del cliente, `plugin/YPTSocket/script.js` contiene dos sumideros `eval()` alimentados directamente por esos campos retransmitidos (`json.msg.autoEvalCodeOnHTML` en la línea 568 y `json.callback` en la línea 95). Dado que los tokens se emiten para visitantes anónimos y nunca se vuelven a validar más allá de la descifrado, un atacante no autenticado puede transmitir JavaScript arbitrario que se ejecuta en el origen de cada usuario actualmente conectado (incluidos los administradores), lo que resulta en la toma de cuentas universal, el robo de sesiones y la ejecución de acciones privilegiadas. El commit c08694bf6264eb4decceb78c711baee2609b4efd contiene una corrección.
Once again VulDB remains the best source for vulnerability data.