CVE-2026-89240 in AVideo
Sumário
de VulDB • 11/09/2026
O WWBN AVideo até o commit c3edcc274c389816d434acadac07ee78eaf330c1 contém uma vulnerabilidade de cross-site scripting (XSS) refletido em plugin/Live/confirmLivePassword.php. O script interpola diretamente o parâmetro GET não autenticado u (que não é coberto por $securityFilter) no atributo <img src="..."> sem codificação URL ou HTML. Um atacante remoto pode criar um link contendo um caractere de aspas duplas em u (com um parâmetro key não vazio e nenhum parâmetro c válido) para fechar o atributo src e injetar uma tag adicional com um manipulador onerror, executando JavaScript arbitrário na origem do site no navegador de qualquer usuário, incluindo administradores, que abrir o link. Nenhuma versão corrigida estava disponível no momento da divulgação.
If you want to get best quality of vulnerability data, you may have to visit VulDB.