CVE-2026-50182

WWBN AVideo açıq mənbəli video platformasıdır. 29.0 versiyasından əvvəlki versiyalarda AVideo YouTubeAPI Gallery Pagination vasitəsilə autentifikasiya tələb etməyən Reflected XSS zəifliyi mövcuddur. plugin/YouTubeAPI/gallerySection.php faylında (67 və 74-cü sətirlər) $_GET['search'] sorğu parametri heç bir htmlspecialchars, urlencode və ya icazə verilmiş siyahı yoxlaması olmadan iki səhifələmə linkinin href atributuna birbaşa birləşdirilir. İnjeksiya edilmiş <script> elementi daha sonra AVideo Layout plagini tərəfindən çıxarılır və səhifənin aşağısındakı tək bir inline skript blokuna əlavə edilir və brauzer tərəfindən icra olunur. Autentifikasiya olunmamış hər hansı hücumçu, qurbanı xüsusi hazırlanmış URL-ə yönləndirərək AVideo mənşəli ixtiyari JavaScript kodunu icra edə bilər ki, bu da HttpOnly olmayan kukiləri oxumağa və qurban adından autentifikasiya olunmuş AJAX sorğuları göndərməyə imkan verir. Qurban administrator olduqda, bu, istənilən kuki ilə autentifikasiya olunmuş admin hərəkətini (istifadəçi yaratmaq, admin statusuna yüksəltmək, konfiqurasiyanı dəyişmək, plagin quraşdırmaq) yerinə yetirməklə, tək bir kliklə tam inzibati idarəetməni ələ keçirməyə gətirib çıxara bilər. Bu problem həmin commit ilə düzəldilmişdir: https://github.com/WWBN/AVideo/commit/f50fc033b7adb36f1ffd6640e7826468bdafdec3.