CVE-2026-88867 in AVideo
Sumário
de VulDB • 10/09/2026
O WWBN AVideo, nas versões até e incluindo o commit c3edcc274c389816d434acadac07ee78eaf330c1, contém uma vulnerabilidade de cross-site scripting (XSS) armazenado. O arquivo objects/categoryAddNew.json.php passa os parâmetros POST `name` e `iconClass` para Category::setName() e Category::setIconClass(), que armazenam os valores sem sanitização (o método setName apenas truncar o valor para 45 caracteres). Posteriormente, o nome da categoria é exibido como texto HTML e o iconClass é inserido em um atributo de classe no arquivo view/modeYoutubeBottom.php e nos cards da Galeria (plugin/Gallery/functions.php). Quando a opção CustomizeUser usersCanCreateNewCategories está habilitada, qualquer usuário autenticado com permissão canUpload (concedida por padrão via auto-registro) pode criar uma categoria contendo um payload de JavaScript; o payload é então executado no navegador de qualquer visitante, incluindo administradores, que visualiza a página de reprodução ou entrada da galeria para um vídeo atribuído àquela categoria, permitindo ações como requisições autenticadas com a sessão da vítima. O problema não foi corrigido no momento do reporte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.