CVE-2026-34396
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
WWBN AVideo w wersjach 26.0 i wcześniejszych nie koduje wartości konfiguracyjnych wtyczek przed wyświetleniem w panelu administracyjnym. Funkcja jsonToFormElements() w admin/functions.php bezpośrednio interpoluje dane użytkownika do elementów HTML, co pozwala na wstrzyknięcie dowolnego JavaScript.
Ocena ryzyka
Atakujący z uprawnieniami administratora lub poprzez CSRF może wstrzyknąć złośliwy skrypt, który wykona się przy każdym odwiedzeniu strony konfiguracji wtyczki przez administratora, prowadząc do przejęcia sesji lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować AVideo do wersji zawierającej poprawkę lub zastosować tymczasowe zabezpieczenie poprzez ręczne kodowanie wyjścia w funkcji jsonToFormElements().
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the AVideo admin panel renders plugin configuration values in HTML forms without applying htmlspecialchars() or any other output encoding. The jsonToFormElements() function in admin/functions.php directly interpolates user-controlled values into textarea contents, option elements, and input attributes. An attacker who can set a plugin configuration value (either as a compromised admin or by chaining with CSRF on admin/save.json.php) can inject arbitrary JavaScript that executes whenever any administrator visits the plugin configuration page. At time of publication, there are no publicly available patches.