CVE-2026-39367
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
AVideo to otwarta platforma wideo, w której funkcja EPG (Electronic Program Guide) parsuje XML z kontrolowanych przez użytkownika URL-i i renderuje tytuły programów bezpośrednio w HTML bez sanityzacji. Użytkownik z uprawnieniami do przesyłania może ustawić złośliwy plik XML, którego elementy <title> zawierają JavaScript. Podatność dotyczy wersji 26.0 i wcześniejszych.
Ocena ryzyka
Nieuwierzytelniony gość odwiedzający publiczną stronę EPG może wykonać złośliwy JavaScript, co umożliwia przejęcie sesji i konta innych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację AVideo do najnowszej wersji oraz wdrożenie sanityzacji danych wejściowych w funkcji EPG.
Oryginalny opis (angielski, źródło NVD)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, AVideo's EPG (Electronic Program Guide) feature parses XML from user-controlled URLs and renders programme titles directly into HTML without any sanitization or escaping. A user with upload permission can set a video's epg_link to a malicious XML file whose <title> elements contain JavaScript. This payload executes in the browser of any unauthenticated visitor to the public EPG page, enabling session hijacking and account takeover.