PT-2026-145463
CVE-2026-126806
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
AVideo الإصدارات 14.3 through 29.7.1
Description
توجد ثغرة نصية برمجية عابرة للمواقع (XSS) مخزنة حيث يمكن للمستخدمين الذين يقومون برفع الملفات حقن نصوص برمجية من خلال قيمة
videoDownloadedLink التي يتم تخزينها دون تنقية عبر نقطة النهاية 'objects/aVideoEncoder.json.php'. يمكن للمهاجمين تضمين حمولات معالجة الأحداث في مضيف URL الذي يتم عرضه كعلامة Source في 'view/managerVideos body.php'، مما يؤدي إلى تنفيذ النصوص البرمجية في جلسات المسؤول لتثبيت أرشيفات إضافات تحتوي على PHP.Recommendations
تحديث AVideo إلى إصدار أحدث من 29.7.1.
تقييد الوصول إلى نقطة النهاية 'objects/aVideoEncoder.json.php' لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾