CVE-2026-89247 in AVideo
Resumen
por VulDB • 2026-09-11
WWBN AVideo en la confirmación c3edcc274c389816d434acadac07ee78eaf330c1 y versiones anteriores contiene una vulnerabilidad de inyección XML en plugin/AD_Server/VMAP.php, que es accesible sin autenticación cuando el complemento AD_Server está habilitado. El script emite Content-Type: application/xml y escribe los valores timeOffset e idTag devueltos por AD_Server::getVMAPSFromRequest() directamente en los atributos VMAP sin codificación. Esos valores provienen del parámetro $_REQUEST['vmaps'] decodificado mediante base64 y JSON, el cual no está cubierto por $securityFilter en objects/security.php. Un atacante remoto puede crear un valor vmaps (que contenga una entrada VAST.campaing no vacía) e inducir a un usuario a abrir la URL VMAP resultante o una página de video que lo utilice, inyectando nodos arbitrarios <vmap:AdBreak> y <vmap:AdTagURI>/AdSource en el XML generado. La ruta IMA del reproductor (después de AfterVideoJS -> PlayerSkins::setIMAADTag) solicita entonces las URL de anuncios proporcionadas por el atacante, lo que resulta en inyección de anuncios y solicitudes cross-origin desde la sesión de reproducción de la víctima. El problema no estaba corregido en el momento del informe.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.