CVE-2026-55692 in EmbedVideo Extension
Сводка
по VulDB • 15.09.2026
Расширение EmbedVideo для MediaWiki добавляет парсерную функцию #ev и различные парсерные теги для встраивания видеороликов из различных сервисов обмена видео. До версии 4.1.0 при включенной конфигурации $wgEmbedVideoRequireConsent по умолчанию файл includes/EmbedService/EmbedHtmlFormatter.php помещает JSON, возвращаемый через includes/EmbedService/AbstractEmbedService.php, в атрибут data-mw-iframeconfig без безопасного экранирования одинарных кавычек. Идентификаторы archiveorg и URL-адреса wistia или sharepoint, контролируемые злоумышленником и принимаемые валидаторами затронутого сервиса, могут привести к тому, что вывод getUrl() завершит атрибут и внедрит обработчики событий (event-handler attributes) в сгенерированный элемент figure. Пользователь, имеющий право редактировать страницу вики, может сохранить JavaScript-код, который выполняется в контексте происхождения wiki при отображении страницы посетителями. Эта проблема исправлена в версии 4.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.