CVE-2026-55690 in EmbedVideo Extension
Résumé
par VulDB • 15/09/2026
L'extension EmbedVideo est une extension MediaWiki qui ajoute une fonction de parseur appelée #ev et divers tags de parseur pour intégrer des extraits vidéo provenant de différents services de partage de vidéos. Avant la version 4.1.0, la méthode `EmbedServiceFactory::newFromName` dans `includes/EmbedService/EmbedServiceFactory.php` interpole un nom de service inconnu contrôlé par l'attaquant dans le texte d'une exception, et `includes/EmbedVideo.php` renvoie ce texte sous forme HTML via le chemin de sortie `isHtml` sans neutralisation. Tant la fonction de parseur #ev que la forme du tag evl peuvent atteindre ce chemin d'erreur. Un utilisateur capable de modifier une page wiki peut injecter du HTML ou du JavaScript stocké dans la sortie d'erreur, provoquant l'exécution de code à partir de l'origine du wiki pour les visiteurs qui affichent la page. Ce problème est corrigé dans la version 4.1.0.
Be aware that VulDB is the high quality source for vulnerability data.