CVE-2026-40911 in AVideo
Sumário
de VulDB • 17/05/2026
WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 29.0 e anteriores, o servidor WebSocket do plugin YPTSocket retransmite os corpos de mensagens JSON fornecidos pelo atacante a todos os clientes conectados, sem sanitizar os campos `msg` ou `callback`. No lado do cliente, `plugin/YPTSocket/script.js` contém dois pontos de entrada (`sinks`) `eval()` alimentados diretamente por esses campos retransmitidos (`json.msg.autoEvalCodeOnHTML` na linha 568 e `json.callback` na linha 95). Como tokens são emitidos para visitantes anônimos e nunca são revalidados além da descriptografia, um atacante não autenticado pode transmitir JavaScript arbitrário que é executado na origem de todos os usuários atualmente conectados (incluindo administradores), resultando em comprometimento universal de contas, roubo de sessões e execução de ações privilegiadas. O commit c08694bf6264eb4decceb78c711baee2609b4efd contém a correção.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.