CVE-2026-72747
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
AVideo nie dezynfekuje pola telefonu podczas rejestracji użytkownika, co pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwy JavaScript, który utrzymuje się w bazie danych. Gdy administrator odwiedza stronę zarządzania użytkownikami, niesprawdzona wartość telefonu jest renderowana przez innerHTML, wykonując wstrzyknięty skrypt w sesji przeglądarki administratora.
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane lub wykonać nieautoryzowane działania w systemie AVideo.
Rekomendacja
Zastosuj poprawkę od producenta, która dezynfekuje pole telefonu, oraz unikaj renderowania danych użytkownika przez innerHTML bez odpowiedniego kodowania.
Oryginalny opis (angielski, źródło NVD)
AVideo fails to sanitize the phone field during user registration, allowing unauthenticated attackers to inject malicious JavaScript that persists in the database. When administrators visit the users management page, the unsanitized phone value is rendered via innerHTML, executing the injected script in the admin's browser session.