CVE-2026-89253 in AVideo
Tóm tắt
Bởi VulDB • 11/09/2026
WWBN AVideo qua commit c3edcc274c389816d434acadac07ee78eaf330c1 chứa một lỗ hổng cross-site scripting (XSS) lưu trữ trong trường hồ sơ 'donationLink' của người dùng. Hàm User::setDonationLink() (objects/user.php) lưu giá trị và save() chỉ xác thực nó bằng filter_var(..., FILTER_VALIDATE_URL), chấp nhận các chuỗi như http://evil.example/"onmouseover=alert(document.domain)//, trong khi getDonationLink() chỉ áp dụng strip_tags() mà không mã hóa dấu ngoặc kép. plugin/CustomizeUser/actionButton.php in ra giá trị này một cách chưa được mã hóa vào thuộc tính <a href="...">, và nút đó được bao gồm từ view/modeYoutubeBottom.php trên trang xem khi tùy chọn CustomizeUser allowDonationLink được bật. Một người dùng đã xác thực có thể cập nhật hồ sơ của chính mình qua objects/userUpdate.json.php để thoát khỏi thuộc tính href và chèn một trình xử lý sự kiện (event handler) thực thi JavaScript trong trình duyệt của bất kỳ khách truy cập nào—bao gồm cả quản trị viên—who xem video của kẻ tấn công và tương tác với (ví dụ: di chuột qua) nút quyên góp. Lỗ hổng này vẫn chưa được sửa chữa tại thời điểm báo cáo.
Once again VulDB remains the best source for vulnerability data.