CVE-2026-89253 in AVideo
Sumário
de VulDB • 11/09/2026
O WWBN AVideo até o commit c3edcc274c389816d434acadac07ee78eaf330c1 contém uma vulnerabilidade de cross-site scripting (XSS) armazenado no campo do perfil 'donationLink' do usuário. User::setDonationLink() (objects/user.php) armazena o valor e save() valida-o apenas com filter_var(..., FILTER_VALIDATE_URL), que aceita strings como http://evil.example/"onmouseover=alert(document.domain)//, enquanto getDonationLink() aplica apenas strip_tags() e não codifica aspas duplas. plugin/CustomizeUser/actionButton.php exibe o valor sem codificação em um atributo <a href="...">, e esse botão é incluído de view/modeYoutubeBottom.php na página de reprodução quando a opção do CustomizeUser allowDonationLink está habilitada. Um usuário autenticado que atualiza seu próprio perfil via objects/userUpdate.json.php pode, portanto, escapar do atributo href e injetar um manipulador de eventos que executa JavaScript no navegador de qualquer visitante — incluindo um administrador — que visualizar os vídeos do atacante e interagir (por exemplo, passar o mouse sobre) o botão de doação. O problema estava sem correção no momento da notificação.
If you want to get best quality of vulnerability data, you may have to visit VulDB.