CVE-2026-89253 in AVideo
Riassunto
di VulDB • 11/09/2026
WWBN AVideo attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1 presenta una vulnerabilità di stored cross-site scripting (XSS) nel campo del profilo 'donationLink' dell'utente. La funzione User::setDonationLink() (objects/user.php) memorizza il valore e save() lo convalida solo tramite filter_var(..., FILTER_VALIDATE_URL), che accetta stringhe come http://evil.example/"onmouseover=alert(document.domain)//, mentre getDonationLink() applica esclusivamente strip_tags() senza codificare le virgolette doppie. plugin/CustomizeUser/actionButton.php visualizza il valore non codificato all'interno di un attributo <a href="...">, e tale pulsante è incluso da view/modeYoutubeBottom.php nella pagina di riproduzione quando l'opzione CustomizeUser allowDonationLink è abilitata. Un utente autenticato che aggiorna il proprio profilo tramite objects/userUpdate.json.php può quindi uscire dall'attributo href e iniettare un gestore di eventi che esegue JavaScript nel browser di qualsiasi visitatore, incluso un amministratore, che visualizza i video dell'attaccante ed interagisce (ad esempio, passa il mouse sopra) con il pulsante delle donazioni. Il problema era ancora non risolto al momento della segnalazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.