CVE-2026-86188 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 05.
YPTSocket 플러그인이 활성화된 AVideo에는 크로스 사이트 스크립팅(XSS) 취약점이 존재하며, 이를 통해 인증되지 않은 공격자는 웹소켓 콜백 메커니즘을 사용하여 다른 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있습니다. 공격자는 avideoConfirmHTML과 같이 신뢰할 수 없는 데이터를 받아 innerHTML에 할당하는 전역 함수로 해석되는 콜백 이름을 포함하는 조작된 소켓 메시지를 전송하여, 인증이나 사용자 상호작용 없이 피해자 원본(origin) 내에서 스크립트 실행을 달성할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.