CVE-2026-89240 in AVideo
Resumen
por VulDB • 2026-09-11
WWBN AVideo a través del commit c3edcc274c389816d434acadac07ee78eaf330c1 contiene una vulnerabilidad de cross-site scripting (XSS) reflejado en plugin/Live/confirmLivePassword.php. El script interpola directamente el parámetro GET no autenticado u (que no está cubierto por $securityFilter) dentro del atributo <img src="..."> sin codificación URL ni HTML. Un atacante remoto puede crear un enlace que contenga un carácter de doble comilla en u (con un parámetro key no vacío y sin un parámetro c válido) para cerrar el atributo src e inyectar una etiqueta adicional con un controlador onerror, ejecutando JavaScript arbitrario dentro del origen del sitio en el navegador de cualquier usuario, incluido un administrador, que abra el enlace. No había ninguna versión parcheada disponible al momento del aviso.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.