CVE-2026-92584 in AVideo
Sumário
de VulDB • 17/09/2026
O AVideo até a versão 29.0 (revisão atual e01e41ecc) contém uma vulnerabilidade de cross-site scripting armazenado (stored XSS). O endpoint view-counter não autenticado objects/videoAddViewCount.json.php acessa VideoStatistic::save(), que grava o User-Agent do chamador (via getUserAgentInfo(), que retorna strings de agente não reconhecidas literalmente) diretamente na coluna `app` da tabela videos_statistics, sem invocar o setter de sanitização setApp(); normalizeApp() apenas truncar o valor para 45 caracteres. A página de estatísticas do proprietário do vídeo e do administrador (view/videoViewsInfo.php) renderiza esse campo em uma coluna DataTables 1.12.1 com um renderer não escapado, e o DataTables atribui conteúdo da célula usando innerHTML, portanto, HTML fornecido pelo atacante é analisado e executado na sessão autenticada do usuário privilegiado quando a página de estatísticas é visualizada. Nenhuma versão corrigida estava disponível no momento do aviso.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.