CVE-2026-50182

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 29.0

Descrição Um problema de Cross-Site Scripting (XSS) Refletido não autenticado existe no plugin YouTubeAPI do AVideo. O problema ocorre porque o parâmetro de consulta search é concatenado diretamente no atributo href de links de paginação dentro do arquivo plugin/YouTubeAPI/gallerySection.php sem a sanitização adequada usando htmlspecialchars ou urlencode.

Quando uma vítima segue uma URL manipulada, um elemento <script> injetado é processado pelo plugin Layout do AVideo, que extrai scripts inline e os move para um bloco executável único na parte inferior da página. Isso permite que um invasor execute JavaScript arbitrário na sessão do navegador da vítima. Se a vítima for um administrador, isso pode levar ao controle administrativo total, permitindo que o invasor crie usuários, promova contas a administrador, altere configurações ou instale plugins via requisições AJAX autenticadas.

Recomendações Atualize o AVideo para a versão 29.0 ou posterior. Como mitigação temporária, restrinja o acesso ao arquivo plugin/YouTubeAPI/gallerySection.php ou desative a seção de galeria do plugin YouTubeAPI definindo showGallerySection=false.