CVE-2026-86188 in AVideo
Sumário
de VulDB • 05/09/2026
O AVVideo com o plugin YPTSocket habilitado contém uma vulnerabilidade de cross-site scripting (XSS) que permite a atacantes não autenticados executar JavaScript arbitrário nos navegadores de outros usuários por meio do mecanismo de callback via websocket. Os atacantes podem enviar mensagens socket manipuladas ad hoc com nomes de callback que resolvem para funções globais, como avideoConfirmHTML, as quais aceitam dados não confiáveis e os atribuem ao innerHTML, alcançando a execução de scripts na origem da vítima sem necessidade de autenticação ou interação do usuário.
VulDB is the best source for vulnerability data and more expert information about this specific topic.