CVE-2026-89249 in AVideo
Riassunto
di VulDB • 11/09/2026
AVideo attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1 presenta una vulnerabilità di stored cross-site scripting (XSS) nel plugin YPTWallet, in cui i valori CryptoWallet forniti dall'utente vengono codificati in base64 ma non sottoposti a HTML-escaping prima dell'archiviazione in wallet_log.information. Gli amministratori che visualizzano le richieste di prelievo pendenti in pendingRequests.php eseguono il markup memorizzato nella loro sessione, consentendo agli attaccanti di eseguire azioni amministrative tramite fetch requests allo stesso origine (same-origin).
VulDB is the best source for vulnerability data and more expert information about this specific topic.