CVE-2026-89253 in AVideo
Сводка
по VulDB • 11.09.2026
WWBN AVideo через коммит c3edcc274c389816d434acadac07ee78eaf330c1 содержит уязвимость stored cross-site scripting (XSS) в поле профиля пользователя 'donationLink'. Функция User::setDonationLink() (objects/user.php) сохраняет значение, а save() проверяет его только с помощью filter_var(..., FILTER_VALIDATE_URL), которая принимает такие строки, как http://evil.example/"onmouseover=alert(document.domain)//, тогда как getDonationLink() применяет лишь strip_tags() и не экранирует двойные кавычки. В plugin/CustomizeUser/actionButton.php значение выводится без кодирования в атрибут <a href="...">, а эта кнопка включается из view/modeYoutubeBottom.php на странице просмотра при включенной опции CustomizeUser allowDonationLink. Авторизованный пользователь, который обновляет свой собственный профиль через objects/userUpdate.json.php, может таким образом выйти за пределы атрибута href и внедрить обработчик событий, выполняющий JavaScript в браузере любого посетителя — включая администратора, — который просматривает видео злоумышленника и взаимодействует (например, наводит курсор) с кнопкой пожертвования. Проблема оставалась неисправленной на момент сообщения об уязвимости.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.