CVE-2026-34739
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
WWBN AVideo do wersji 26.0 włącznie zawiera podatność w pluginie User_Location na stronie testIP.php, która odzwierciedla parametr ip bez kodowania wyjściowego, umożliwiając wstrzykiwanie dowolnego HTML i JavaScript. Mimo że strona jest ograniczona do adminów, konfiguracja ciasteczek SameSite=None pozwala na eksploatację międzyoriginową. Brak publicznie dostępnych łat.
Ocena ryzyka
Atakujący może nakłonić administratora do kliknięcia spreparowanego linku, co pozwoli na wykonanie JavaScript w kontekście sesji administratora, prowadząc do przejęcia konta lub kradzieży danych.
Rekomendacja
Zaleca się ograniczenie dostępu do strony testIP.php tylko dla zaufanych sieci oraz zastosowanie tymczasowych zabezpieczeń, takich jak walidacja i kodowanie wyjściowe, do czasu wydania oficjalnej łatki.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the User_Location plugin's testIP.php page reflects the ip request parameter directly into an HTML input element without applying htmlspecialchars() or any other output encoding. This allows an attacker to inject arbitrary HTML and JavaScript via a crafted URL. Although the page is restricted to admin users, AVideo's SameSite=None cookie configuration allows cross-origin exploitation, meaning an attacker can lure an admin to a malicious link that executes JavaScript in their authenticated session. At time of publication, there are no publicly available patches.