CVE-2026-89253 in AVideo
요약
\~에 의해 VulDB • 2026. 09. 11.
WWBN AVideo는 커밋 c3edcc274c389816d434acadac07ee78eaf330c1까지 저장형 크로스 사이트 스크립팅(XSS) 취약점을 포함하고 있습니다. 이 취약점은 사용자의 'donationLink' 프로필 필드에서 발생합니다. User::setDonationLink() (objects/user.php)는 값을 저장하며, save() 메서드는 filter_var(..., FILTER_VALIDATE_URL)를 사용하여만 유효성을 검사합니다. 이는 http://evil.example/"onmouseover=alert(document.domain)//와 같은 문자열을 허용합니다. 또한 getDonationLink()는 strip_tags()만 적용하고 이중 따옴표를 인코딩하지 않습니다. plugin/CustomizeUser/actionButton.php에서는 이 값을 <a href="..."> 속성 내에 인코딩 없이 출력하며, 해당 버튼은 CustomizeUser 옵션에서 allowDonationLink가 활성화된 경우 watch 페이지의 view/modeYoutubeBottom.php에서 포함됩니다. 따라서 objects/userUpdate.json.php를 통해 자신의 프로필을 업데이트하는 인증된 사용자는 href 속성을 탈출하여 이벤트 핸들러를 주입할 수 있으며, 이는 공격자의 동영상을 보고 기부 버튼에 마우스를 올리는 등 상호작용하는 모든 방문자(관리자 포함)의 브라우저에서 JavaScript 코드를 실행합니다. 이 문제는 보고 당시에도 수정되지 않았습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.