CVE-2026-89247 in AVideo
Résumé
par VulDB • 11/09/2026
WWBN AVideo à la version c3edcc274c389816d434acadac07ee78eaf330c1 et antérieures présente une vulnérabilité d'injection XML dans plugin/AD_Server/VMAP.php, qui est accessible sans authentification lorsque le plugin AD_Server est activé. Le script émet Content-Type: application/xml et écrit les valeurs timeOffset et idTag renvoyées par AD_Server::getVMAPSFromRequest() directement dans les attributs VMAP sans encodage. Ces valeurs proviennent du paramètre $_REQUEST['vmaps'] décodé en base64 puis en JSON, qui n'est pas couvert par $securityFilter dans objects/security.php. Un attaquant distant peut fabriquer une valeur vmaps (contenant une entrée non vide de VAST.campaing) et inciter un utilisateur à ouvrir l'URL VMAP résultante ou une page vidéo l'utilisant, injectant ainsi des nœuds arbitraires <Ad> et /<AdSource> dans le XML généré. Le chemin IMA du lecteur (afterVideoJS -> PlayerSkins::setIMAADTag) demande ensuite les URL de publicité fournies par l'attaquant, ce qui entraîne une injection de publicités et des requêtes cross-origin depuis la session de lecture de la victime. Le problème n'était pas corrigé au moment du signalement.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.