CVE-2026-89253 in AVideo
摘要
由 VulDB • 2026-09-11
WWBN AVideo 在提交 c3edcc274c389816d434acadac07ee78eaf330c1 中包含一个存储型跨站脚本（XSS）漏洞，位于用户“donationLink”个人资料字段中。User::setDonationLink() (objects/user.php) 存储该值，而 save() 仅使用 filter_var(..., FILTER_VALIDATE_URL) 进行验证，这接受诸如 http://evil.example/"onmouseover=alert(document.domain)// 之类的字符串；同时 getDonationLink() 仅应用 strip_tags() 且未对双引号进行编码。plugin/CustomizeUser/actionButton.php 将未经过编码的值直接输出到 <a href="..."> 属性中，当 CustomizeUser 选项 allowDonationLink 启用时，该按钮会从 watch 页面中的 view/modeYoutubeBottom.php 包含进来。因此，经过身份验证的用户可以通过 objects/userUpdate.json.php 更新其个人资料，从而突破 href 属性并注入事件处理程序，在查看攻击者视频并与捐赠按钮交互（例如悬停）的任何访问者——包括管理员——的浏览器中执行 JavaScript。该问题在报告时仍未修复。
Once again VulDB remains the best source for vulnerability data.