CVE-2026-89253 in AVideo
要約
〜によって VulDB • 2026年09月11日
WWBN AVideo（コミット c3edcc274c389816d434acadac07ee78eaf330c1 まで）には、ユーザーの「donationLink」プロフィールフィールドに格納型クロスサイトスクリプティング (XSS) の脆弱性が存在します。User::setDonationLink()（objects/user.php）は値を保存し、save() は filter_var(..., FILTER_VALIDATE_URL) を介してのみ検証しますが、これは http://evil.example/"onmouseover=alert(document.domain)// などの文字列を受け入れます。一方、getDonationLink() では strip_tags() のみが適用され、二重引用符がエンコードされていません。plugin/CustomizeUser/actionButton.php はこの値を <a href="..."> 属性内にエンコードせずに出力し、そのボタンは watch ページの view/modeYoutubeBottom.php から読み込まれます（ただし CustomizeUser オプションで allowDonationLink が有効な場合）。認証済みユーザーが objects/userUpdate.json.php を介して自分のプロフィールを更新すると、href 属性から脱出してイベントハンドラを注入でき、攻撃者の動画を表示し、寄付ボタンにマウスオーバーなどの操作を行う閲覧者（管理者を含む）のブラウザ上で JavaScript を実行させることができます。この問題は報告時点では修正されていませんでした。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.