CVE-2026-49279

WWBN AVideo açık kaynaklı bir video platformudur. 29.0 ve altı sürümler, MessageSQLite WebSocket Handler içerisindeki autoEvalCodeOnHTML parametresi üzerinden Kayıtlı XSS zafiyeti içermektedir. MessageSQLite.php işleyicisi autoEvalCodeOnHTML ifadesini yalnızca $json['msg'] kısmından temizlemekte, ancak msgToResourceId() fonksiyonu daha yüksek öncelikle $msg['json'] kısmını okumaktadır. Bir saldırgan, XSS yükünü msg yerine json anahtarına yerleştirerek temizleme işlemini tamamen atlayabilir. Kimliği doğrulanmış bir saldırgan, varsayılan SQLite WebSocket arka uç yapılandırmasında, WebSocket mesajlaşma sistemi aracılığıyla bağlı herhangi bir kullanıcının tarayıcı oturumunda rastgele JavaScript çalıştırabilir; böylece oturum çerezlerini ve kimlik doğrulama belirteçlerini çalabilir, oturum çalma yoluyla hesapları ele geçirebilir ve kurban adına yönetici işlemleri gerçekleştirmek için bu durumu CSRF ile zincirleyebilir. Bu sorun için henüz resmi olarak yayınlanmamış bir yama bulunmaktadır, bkz. https://github.com/WWBN/AVideo/commit/3e0b3ce2bfa766183ff0ae227439394db57b1a23.