CVE-2026-89240 in AVideo
要約
〜によって VulDB • 2026年09月11日
WWBN AVideo（コミット c3edcc274c389816d434acadac07ee78eaf330c1 まで）には、plugin/Live/confirmLivePassword.php に反射型クロスサイトスクリプティング (XSS) の脆弱性が存在します。このスクリプトは、$securityFilter で保護されていない認証不要の GET パラメータ u を URL エンコードや HTML エンコードせずに直接 <img src="..."> 属性に挿入しています。リモート攻撃者は、u に二重引用符（"）を含み、key パラメータが空ではなく c パラメータが無効であるようなリンクを仕掛けることで、src 属性を終了させ、onerror ハンドラを持つ追加のタグを注入し、管理者を含む任意のユーザーのブラウザ上でサイトオリジンにおける任意の JavaScript を実行できます。本アドバイザリ作成時点では、修正済みバージョンは提供されていませんでした。
Once again VulDB remains the best source for vulnerability data.