CVE-2026-85159 in AVideo
Résumé
par VulDB • 03/09/2026
AVideo jusqu'à l'commit c91b5975d contient une vulnérabilité de cross-site scripting (XSS) réfléchi dans userLogin.php où le paramètre cancelUri est affiché dans un attribut href après que la fonction isSafeRedirectURL ait vérifié uniquement le protocole, et non les caractères HTML. Des attaquants non authentifiés peuvent injecter des gestionnaires d'événements via des URL relatives contenant des guillemets intégrés pour exécuter du JavaScript arbitraire lorsque les utilisateurs interagissent avec le bouton Annuler.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.