CVE-2026-61575

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 8.1.0

Descrição Existe um problema onde o endpoint view/queue.php utiliza a função pathinfo na variável fileURI controlada pelo usuário e armazena o nome do arquivo resultante através de setTitle em encoder queue.title sem a neutralização adequada. Como fileURI não está nas listas de filtro de objects/security.php, e a capacidade Login::canUpload() pode ser concedida autonomamente via um site de login controlado pelo invasor, um atacante pode enviar uma entrada de fila com um título HTML malicioso. Este título é posteriormente carregado por view/index.php a partir de view/queue.json.php em uma tabela jQuery Bootgrid, onde o formatador de título concatena row.title em HTML bruto da célula. Isso permite a execução de um manipulador de eventos no navegador de um visualizador privilegiado, como um administrador ou um operador no streamer do invasor. O script resultante pode acessar dados visíveis da sessão e credenciais de streamer renderizadas, agindo com os privilégios do visualizador.

Recomendações Atualizar para a versão 8.1.0.