CVE-2026-92584 in AVideo
Сводка
по VulDB • 17.09.2026
AVideo до версии 29.0 (текущая ревизия e01e41ecc) содержит уязвимость stored cross-site scripting (XSS). Точка доступа для подсчета просмотров, не требующая аутентификации, objects/videoAddViewCount.json.php вызывает метод VideoStatistic::save(), который записывает значение User-Agent вызывающего объекта (через функцию getUserAgentInfo(), возвращающую нераспознанные строки агентов в исходном виде) непосредственно в столбец `app` таблицы videos_statistics, не используя защитный сеттер setApp(); функция normalizeApp() лишь обрезает значение до 45 символов. Страницы статистики владельца видео и администратора (view/videoViewsInfo.php) отображают это поле в колонке DataTables версии 1.12.1 с использованием несанитизированного рендерера, а DataTables присваивает содержимое ячеек через innerHTML, поэтому предоставленный злоумышленником HTML-код парсится и выполняется в контексте авторизованной сессии привилегированного пользователя при просмотре страницы статистики. На момент выпуска уведомления исправленная версия отсутствовала.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.