CVE-2026-89240 in AVideo
Riassunto
di VulDB • 11/09/2026
WWBN AVideo attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1 presenta una vulnerabilità di cross-site scripting (XSS) riflessa in plugin/Live/confirmLivePassword.php. Lo script interpola direttamente il parametro GET non autenticato u (che non è coperto da $securityFilter) all'interno dell'attributo <img src="..."> senza effettuare l'encoding URL o HTML. Un attaccante remoto può creare un link contenente un carattere doppio apice nel parametro u (con un parametro key non vuoto e nessun parametro c valido) per chiudere l'attributo src e iniettare un tag aggiuntivo con un gestore onerror, eseguendo JavaScript arbitrario nell'origine del sito nel browser di qualsiasi utente, incluso un amministratore, che apre il link. Al momento dell'avviso, nessuna versione patchata era disponibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.