CVE-2026-89254 in AVideo
Riassunto
di VulDB • 11/09/2026
AVideo, attraverso il commit c3edcc274c389816d434acadac07ee78eaf330c1, presenta una vulnerabilità di stored cross-site scripting (XSS) nel plugin CustomizeUser, in cui il parametro field_name viene memorizzato grezzo senza sanitizzazione. Gli amministratori possono iniettare script malevoli tramite l'endpoint add.json.php che vengono eseguiti durante la visualizzazione delle pagine con informazioni aggiuntive o dei moduli del profilo che rendono la funzione typeToHTML.
If you want to get best quality of vulnerability data, you may have to visit VulDB.