CVE-2026-89253

WWBN AVideo proqramının c3edcc274c389816d434acadac07ee78eaf330c1 commit-i ilə təmin edilən versiyasında istifadəçinin 'donationLink' profil sahəsində saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. User::setDonationLink() (objects/user.php) dəyəri saxlayır və save() funksiyası onu yalnız filter_var(..., FILTER_VALIDATE_URL) ilə yoxlayır ki, bu da http://evil.example/"onmouseover=alert(document.domain)// kimi sətirləri qəbul edir, halbuki getDonationLink() yalnız strip_tags() tətbiq edir və qoşa dırnaqları kodlaşdırmır. plugin/CustomizeUser/actionButton.php faylı həmin dəyəri kodlaşdırılmamış şəkildə <a href="..."> atributuna yazır və CustomizeUser seçimlərində allowDonationLink aktiv olduqda, bu düymə izləmə səhifəsində view/modeYoutubeBottom.php vasitəsilə əlavə edilir. Beləliklə, objects/userUpdate.json.php vasitəsilə öz profilini yeniləyən autentifikasiya olunmuş istifadəçi href atributundan çıxa və hücumçunun videolarını izləyən və ianə düyməsi ilə qarşılıqlı əlaqədə olan (məsələn, üzərinə gələn) hər hansı bir ziyarətçinin — o cümlədən administratorun — brauzerində JavaScript kodunu icra edən hadisə idarəedicisini (event handler) yerləşdirə bilər. Problem hesabat verildiyi vaxtda düzəldilməmişdi.