CVE-2026-49279

WWBN AVideo açıq mənbəli video platformasıdır. Versiya 29.0 və daha aşağı versiyalarda MessageSQLite WebSocket Handler-dəki autoEvalCodeOnHTML parametri vasitəsilə Stored XSS zəifliyi mövcuddur. MessageSQLite.php handleri autoEvalCodeOnHTML parametrini yalnız $json['msg'] hissəsindən təmizləyir, lakin msgToResourceId() funksiyası daha yüksək prioritetlə $msg['json'] hissəsindən oxuma aparır. Hücumçu XSS payload-unu msg əvəzinə json açarına yerləşdirərək təmizləmə prosesindən tamamilə yan keçə bilər. Autentifikasiya olunmuş hücumçu, standart SQLite WebSocket backend konfiqurasiyasında, WebSocket mesajlaşma sistemi vasitəsilə hər hansı qoşulmuş istifadəçinin brauzer sessiyasında ixtiyari JavaScript kodunu icra edə bilər; bu, sessiya kukilərinin və autentifikasiya tokenlərinin oğurlanmasına, sessiyanın ələ keçirilməsi yolu ilə hesabların idarə edilməsinə və CSRF ilə birləşdirilərək qurban adına administrator hərəkətlərinin yerinə yetirilməsinə səbəb ola bilər. Bu problem üçün hələ rəsmi şəkildə dərc edilməmiş yamaq mövcuddur, bax: https://github.com/WWBN/AVideo/commit/3e0b3ce2bfa766183ff0ae227439394db57b1a23.