CVE-2026-88867 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 10.
WWBN AVideo는 커밋 c3edcc274c389816d434acadac07ee78eaf330c1 및 그 이전 버전에서 저장형 크로스 사이트 스크립팅(stored cross-site scripting) 취약점을 포함합니다. objects/categoryAddNew.json.php는 POST 파라미터 `name`과 `iconClass`를 Category::setName() 및 Category::setIconClass()로 전달하며, 이 함수들은 값을 sanitization(정제/검증) 없이 저장합니다(setName은 45자로 자르는 것만 수행). 이후 카테고리 이름이 HTML 텍스트로 echo되고, iconClass는 view/modeYoutubeBottom.php와 갤러리 카드(plugin/Gallery/functions.php)의 class 속성으로 echo됩니다. CustomizeUser 옵션에서 usersCanCreateNewCategories가 활성화되어 있고 canUpload 권한(기본적으로 자기 등록을 통해 부여됨)이 있는 인증된 사용자는 JavaScript 페이로드를 포함한 카테고리를 생성할 수 있습니다. 그러면 해당 페이로드는 해당 카테고리에 할당된 비디오의 시청 페이지나 갤러리 항목을 방문하는 모든 사용자, 관리자를 포함하여 브라우저에서 실행되며, 이로 인해 피해자의 세션을 사용한 인증 요청과 같은 작업이 가능해집니다. 이 문제는 보고 당시 패치되지 않았습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.