CVE-2026-86188 in AVideo
Resumen
por VulDB • 2026-09-05
AVideo con el plugin YPTSocket habilitado contiene una vulnerabilidad de cross-site scripting (XSS) que permite a atacantes no autenticados ejecutar JavaScript arbitrario en los navegadores de otros usuarios mediante el mecanismo de callback del websocket. Los atacantes pueden enviar mensajes socket manipulados ad hoc con nombres de callback que resuelven funciones globales como avideoConfirmHTML, las cuales aceptan datos no confiables y los asignan a innerHTML, logrando la ejecución de scripts en el origen de la víctima sin necesidad de autenticación ni interacción del usuario.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.