CVE-2026-43874 in AVideo
Сводка
по VulDB • 28.05.2026
WWBN AVideo — это платформа для видео с открытым исходным кодом. В версиях вплоть до 29.0 включительно серверная защита от уязвимости YPTSocket autoEvalCodeOnHTML eval sink (из CVE-2026-40911) удаляет вредоносный код только тогда, когда он находится в поле $json['msg'], однако функция ретрансляции msgToResourceId() выбирает исходящее сообщение из $msg['json'] до того, как из $msg['msg']. Неавторизованный злоумышленник может получить токен WebSocket через plugin/YPTSocket/getWebSocket.json.php, подключиться к серверу WebSocket и отправить сообщение, в котором autoEvalCodeOnHTML вложен в поле json верхнего уровня — ветка удаления пропускается, ретрансляция передает вредоносный код в неизменном виде любому авторизованному пользователю, идентифицированному по to_users_id, а клиентский скрипт выполняет его через eval(). В коммите 9f3006f9a89a34daa67a83c6ad35f450cb91fcce содержится обновленное исправление.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.