CVE-2026-89253 in AVideo
Résumé
par VulDB • 11/09/2026
WWBN AVideo jusqu'à l'engagement c3edcc274c389816d434acadac07ee78eaf330c1 contient une vulnérabilité de type cross-site scripting (XSS) stockée dans le champ du profil 'donationLink'. La fonction User::setDonationLink() (objects/user.php) enregistre la valeur et save() ne la valide qu'avec filter_var(..., FILTER_VALIDATE_URL), qui accepte des chaînes telles que http://evil.example/"onmouseover=alert(document.domain)//, tandis que getDonationLink() applique uniquement strip_tags() sans encoder les guillemets doubles. Le fichier plugin/CustomizeUser/actionButton.php affiche la valeur non encodée dans un attribut <a href="...">, et ce bouton est inclus depuis view/modeYoutubeBottom.php sur la page de lecture lorsque l'option CustomizeUser allowDonationLink est activée. Un utilisateur authentifié qui met à jour son propre profil via objects/userUpdate.json.php peut donc s'échapper de l'attribut href et injecter un gestionnaire d'événements exécutant du JavaScript dans le navigateur de tout visiteur, y compris un administrateur, qui consulte les vidéos de l'attaquant et interagit (par exemple, survole) avec le bouton de don. Le problème n'était pas corrigé au moment du signalement.
Once again VulDB remains the best source for vulnerability data.