CVE-2026-92584

Orta

Teknik Veri (Otomatik)

CVSS Skoru: 6.1
EPSS: —
CWE: CWE-79
KEV Durumu: Hayır

AVideo 29.0 sürümüne (şu anki revizyon e01e41ecc) kadar depolanmış bir cross-site scripting zafiyeti içerir. Kimlik doğrulaması yapılmamış view-counter endpoint nesneleri/videoAddViewCount.json.php, VideoStatistic::save() işlevine ulaşır ve bu, çağrının User-Agent'ını (getUserAgentInfo() aracılığıyla, bu da tanınmayan ajan dizilerini olduğu gibi döndürür) videos_statistics tablosunun `app` sütununa doğrudan yazar, ancak sanitizing setter setApp()'i çağırmaz; normalizeApp() yalnızca değeri 45 karaktere kısaltır. Video sahibi ve yöneticisinin istatistik sayfası (view/videoViewsInfo.php), bu alanı bir DataTables 1.12.1 sütununda kaçırılmamış bir render ile oluşturur ve DataTables, hücre içeriğini innerHTML kullanarak atar, böylece saldırgan tarafından sağlanan HTML, istatistik sayfası görüntülendiğinde yetkili kullanıcının kimlik doğrulama oturumunda parse edilir ve yürütülür. Uyarının yapıldığı sırada yama uygulanmış bir sürüm mevcut değildi.

Orijinal açıklama (İngilizce)

AVideo through 29.0 (current revision e01e41ecc) contains a stored cross-site scripting vulnerability. The unauthenticated view-counter endpoint objects/videoAddViewCount.json.php reaches VideoStatistic::save(), which writes the caller's User-Agent (via getUserAgentInfo(), which returns unrecognized agent strings verbatim) directly into the `app` column of the videos_statistics table without invoking the sanitizing setter setApp(); normalizeApp() only truncates the value to 45 characters. The video owner's and administrator's statistics page (view/videoViewsInfo.php) renders this field in a DataTables 1.12.1 column with an unescaped renderer, and DataTables assigns cell content using innerHTML, so attacker-supplied HTML is parsed and executed in the privileged user's authenticated session when the statistics page is viewed. No patched version was available at the time of the advisory.

Referanslar

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.