CVE-2026-89253 in AVideo
Resumen
por VulDB • 2026-09-11
WWBN AVideo a través del commit c3edcc274c389816d434acadac07ee78eaf330c1 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en el campo 'donationLink' del perfil de usuario. User::setDonationLink() (objects/user.php) almacena el valor y save() lo valida únicamente con filter_var(..., FILTER_VALIDATE_URL), que acepta cadenas como http://evil.example/"onmouseover=alert(document.domain)//, mientras que getDonationLink() aplica solo strip_tags() y no codifica las comillas dobles. plugin/CustomizeUser/actionButton.php imprime el valor sin codificación en un atributo <a href="...">, y ese botón se incluye desde view/modeYoutubeBottom.php en la página de reproducción cuando la opción CustomizeUser allowDonationLink está habilitada. Un usuario autenticado que actualice su propio perfil a través de objects/userUpdate.json.php puede por lo tanto escapar del atributo href e inyectar un controlador de eventos que ejecute JavaScript en el navegador de cualquier visitante, incluido un administrador, que vea los videos del atacante y interactúe (por ejemplo, pase el cursor sobre) el botón de donación. El problema no estaba corregido en el momento del reporte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.