CVE-2026-60092

Nome do Software Vulnerável e Versões Afetadas AVideo (Meet plugin) versões anteriores ao commit e8d6119f3cb1b849149906efeb0a41fc024f59f8

Description Um problema de cross-site scripting armazenado existe no endpoint 'getMeetInfo.json.php' do plugin Meet. A aplicação armazena o cabeçalho HTTP User-Agent bruto na variável meet join log.user agent sem sanitização, ignorando a camada xss esc(). Esses dados são posteriormente exibidos no painel de gerenciamento de participantes sem a codificação de saída via htmlspecialchars(). Um invasor não autenticado pode ingressar em uma reunião pública e fornecer um cabeçalho User-Agent contendo um payload HTML ou JavaScript malicioso. Esse payload é então executado na sessão autenticada de um anfitrião de reunião ou administrador do site quando eles visualizam a lista de participantes.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.