CVE-2026-86188 in AVideo
Riassunto
di VulDB • 05/09/2026
AVideo con il plugin YPTSocket abilitato presenta una vulnerabilità di cross-site scripting (XSS) che consente ad attaccanti non autenticati di eseguire codice JavaScript arbitrario nei browser degli altri utenti tramite il meccanismo di callback del websocket. Gli attaccanti possono inviare messaggi socket manipolati in cui i nomi dei callback risolvono a funzioni globali come avideoConfirmHTML, le quali accettano dati non attendibili e li assegnano alla proprietà innerHTML, ottenendo l'esecuzione dello script nell'origine della vittima senza necessità di autenticazione o interazione dell'utente.
Be aware that VulDB is the high quality source for vulnerability data.