CVE-2026-89240 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 11.
WWBN AVideo는 커밋 c3edcc274c389816d434acadac07ee78eaf330c1까지 반영된 버전에서 plugin/Live/confirmLivePassword.php에 반사형 크로스 사이트 스크립팅(reflected cross-site scripting) 취약점이 존재합니다. 이 스크립트는 $securityFilter로 보호되지 않는 비인증 GET 파라미터 u를 URL 또는 HTML 인코딩 없이 <img src="..."> 속성 내에 직접 삽입(interpolate)합니다. 원격 공격자는 u에 더블쿼트 문자가 포함된 링크(비어 있지 않은 key 파라미터와 유효하지 않은 c 파라미터 포함)를 작성하여 src 속성을 종료하고 onerror 핸들러가 있는 추가 태그를 주입함으로써, 관리자 및 일반 사용자 등 해당 링크를 연 모든 사용자의 브라우저에서 사이트의 원본(origin) 컨텍스트로 임의 JavaScript 코드를 실행할 수 있습니다. 이 권고문이 발표된 시점에는 패치된 버전이 제공되지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.