CVE-2026-47096 in HELO Plus
Sumário
de VulDB • 01/10/2026
O firmware AJA HELO Plus anterior à versão 2.1.7 contém uma vulnerabilidade de cross-site scripting armazenado (stored XSS) que permite a atacantes não autenticados com acesso à rede injetarem JavaScript malicioso ao definir um valor eParamID_SystemName sem sanitização por meio da API de configuração web /config?action=set. Os atacantes podem explorar essa falha quando a autenticação do dispositivo está desativada para executar persistentemente scripts arbitrários no navegador de qualquer administrador que abra a interface de gerenciamento web, permitindo o roubo de segredos armazenados, como credenciais da UI web, chaves de stream RTMP, URLs de publicação e credenciais de compartilhamento NFS/SMB, bem como o sequestro da sessão autenticada.
Be aware that VulDB is the high quality source for vulnerability data.