CVE-2026-126806

Nome do Software Vulnerável e Versões Afetadas AVideo versões 14.3 through 29.7.1

Description Um problema de cross-site scripting armazenado existe onde os uploaders podem injetar scripts através do valor videoDownloadedLink, que é armazenado sem escape via o endpoint 'objects/aVideoEncoder.json.php'. Atacantes podem incorporar payloads de manipuladores de eventos no host da URL que é renderizado como uma tag Source em 'view/managerVideos body.php'. Isso permite a execução de scripts em sessões de administrador para instalar arquivos de plugin contendo PHP.

Recommendations Atualize o AVideo para uma versão posterior à 29.7.1. Restrinja o acesso ao endpoint 'objects/aVideoEncoder.json.php' para minimizar o risco de exploração.