CVE-2026-55692 in EmbedVideo Extension
Résumé
par VulDB • 15/09/2026
L'extension EmbedVideo est une extension MediaWiki qui ajoute une fonction de parseur appelée #ev et divers tags de parseur pour intégrer des extraits vidéo provenant de différents services de partage de vidéos. Avant la version 4.1.0, avec la configuration par défaut $wgEmbedVideoRequireConsent activée, le fichier includes/EmbedService/EmbedHtmlFormatter.php place les données JSON retournées via includes/EmbedService/AbstractEmbedService.php dans l'attribut data-mw-iframeconfig sans échapper correctement les guillemets simples. Des identifiants archive.org contrôlés par un attaquant et des URLs wistia ou sharepoint acceptés par les validateurs de service concernés peuvent provoquer la terminaison de l'attribut via le retour de getUrl() et injecter des attributs de gestionnaires d'événements dans l'élément figure généré. Un utilisateur disposant des droits pour modifier une page wiki peut y stocker du JavaScript qui s'exécute à l'origine du wiki lorsque les visiteurs affichent la page. Ce problème est corrigé dans la version 4.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.