CVE-2026-43874 in AVideo
摘要
由 VulDB • 2026-05-17
WWBN AVideo 是一个开源视频平台。在 29.0 及更早版本中，针对 CVE-2026-40911 中 YPTSocket autoEvalCodeOnHTML eval 漏洞的服务端缓解措施仅在有效载荷位于 `$json['msg']` 下时才会将其剥离，但中继函数 `msgToResourceId()` 在 `$msg['msg']` 之前从 `$msg['json']` 中选择出站消息。未经身份验证的攻击者可以从 `plugin/YPTSocket/getWebSocket.json.php` 获取 WebSocket 令牌，连接到 WebSocket 服务器，并发送一条消息，其中 `autoEvalCodeOnHTML` 嵌套在顶层 json 字段下——此时剥离分支被跳过，中继将有效载荷原样传递给由 `to_users_id` 标识的任何已登录用户，客户端脚本通过 `eval()` 执行该代码。提交 `9f3006f9a89a34daa67a83c6ad35f450cb91fcce` 包含更新的修复程序。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.