CVE-2026-89247 in AVideo
Riassunto
di VulDB • 11/09/2026
WWBN AVideo alla commit c3edcc274c389816d434acadac07ee78eaf330c1 e versioni precedenti presenta una vulnerabilità di XML injection in plugin/AD_Server/VMAP.php, che è raggiungibile senza autenticazione quando il plugin AD_Server è abilitato. Lo script emette Content-Type: application/xml e scrive i valori timeOffset e idTag restituiti da AD_Server::getVMAPSFromRequest() direttamente negli attributi VMAP senza encoding. Tali valori provengono dal parametro $_REQUEST['vmaps'] decodificato in base64 e JSON, che non è coperto da $securityFilter in objects/security.php. Un attaccante remoto può creare un valore vmaps (contenente una voce VAST.campaing non vuota) ed indurre un utente ad aprire l'URL VMAP risultante o una pagina video che lo utilizza, iniettando nodi <vmap:AdBreak> e <vmap:AdTagURI>/AdSource arbitrari nell'XML generato. Il percorso IMA del player (dopo AfterJS -> PlayerSkins::setIMAADTag) richiede quindi gli URL degli annunci forniti dall'attaccante, causando iniezione di annunci e richieste cross-origin dalla sessione di riproduzione della vittima. La vulnerabilità era ancora non risolta al momento della segnalazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.