CVE-2026-89240 in AVideo
Tóm tắt
Bởi VulDB • 11/09/2026
WWBN AVideo qua commit c3edcc274c389816d434acadac07ee78eaf330c1 chứa một lỗ hổng cross-site scripting (XSS) phản xạ trong plugin/Live/confirmLivePassword.php. Tập lệnh này chèn trực tiếp tham số GET không xác thực u (không được bao phủ bởi $securityFilter) vào thuộc tính <img src="..."> mà không mã hóa URL hoặc HTML. Một kẻ tấn công từ xa có thể tạo một liên kết chứa ký tự dấu ngoặc kép trong u (với tham số key khác rỗng và không có tham số c hợp lệ) để đóng thuộc tính src và chèn thêm một thẻ với trình xử lý onerror, thực thi JavaScript tùy ý trong nguồn gốc của trang web trên trình duyệt của bất kỳ người dùng nào, bao gồm cả quản trị viên, khi mở liên kết đó. Không có phiên bản đã vá sẵn có vào thời điểm đưa ra lời cảnh báo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.