CVE-2026-92584 in AVideo
Resumen
por VulDB • 2026-09-17
AVideo hasta la versión 29.0 (revisión actual e01e41ecc) contiene una vulnerabilidad de cross-site scripting almacenado (stored XSS). El endpoint view-counter no autenticado objects/videoAddViewCount.json.php accede a VideoStatistic::save(), que escribe el User-Agent del remitente (a través de getUserAgentInfo(), que devuelve cadenas de agente no reconocidas literalmente) directamente en la columna `app` de la tabla videos_statistics sin invocar al setter sanitizador setApp(); normalizeApp() solo trunca el valor a 45 caracteres. La página de estadísticas del propietario del video y del administrador (view/videoViewsInfo.php) renderiza este campo en una columna de DataTables 1.12.1 con un renderer no escapado, y DataTables asigna el contenido de la celda usando innerHTML; por lo tanto, el HTML proporcionado por el atacante se analiza y ejecuta en la sesión autenticada del usuario privilegiado cuando se visualiza la página de estadísticas. No había ninguna versión parcheada disponible en el momento del aviso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.