CVE-2026-50182

WWBN AVideo açık kaynaklı bir video platformudur. 29.0 öncesindeki sürümler, AVideo YouTubeAPI Gallery Pagination üzerinden kimlik doğrulaması gerektirmeyen bir Reflected XSS zafiyeti içermektedir. $_GET['search'] sorgu parametresi; htmlspecialchars, urlencode veya herhangi bir izin listesi kontrolü olmaksızın, plugin/YouTubeAPI/gallerySection.php dosyasındaki (67. ve 74. satırlar) iki sayfalama bağlantısının href özniteliğine doğrudan eklenmektedir. Enjekte edilen <script> öğesi daha sonra AVideo Layout eklentisi tarafından ayıklanır ve sayfanın altındaki tek bir sondaki satır içi betik bloğuna eklenerek tarayıcı tarafından çalıştırılır. Kimliği doğrulanmamış herhangi bir saldırgan, kurbanı özel olarak hazırlanmış bir URL'ye yönlendirerek AVideo kökeni altında rastgele JavaScript kodu çalıştırabilir; bu durum HttpOnly olmayan çerezlerin okunmasına ve kurban adına kimliği doğrulanmış AJAX istekleri gönderilmesine olanak tanır. Kurban bir yönetici olduğunda, çerezle kimliği doğrulanmış herhangi bir yönetici işlemi (kullanıcı oluşturma, yöneticiye yükseltme, yapılandırmayı değiştirme, eklenti yükleme) gerçekleştirilebilir ve tek bir tıklama tam yönetici ele geçirme işlemine dönüştürülebilir. Bu sorun şu commit ile düzeltilmiştir: https://github.com/WWBN/AVideo/commit/f50fc033b7adb36f1ffd6640e7826468bdafdec3.