CVE-2026-85159

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores ao commit c91b5975d

Description Um problema de cross-site scripting refletido existe no endpoint 'userLogin.php'. O parâmetro cancelUri é ecoado dentro de um atributo href após a função isSafeRedirectURL() validar apenas o protocolo e falhar na sanitização de caracteres HTML. Isso permite que atacantes não autenticados injetem manipuladores de eventos usando URLs relativas com aspas incorporadas, levando à execução de JavaScript arbitrário quando um usuário interage com o botão Cancelar.

Recommendations Atualize o AVideo para uma versão posterior ao commit c91b5975d. Como mitigação temporária, restrinja ou evite o uso do parâmetro cancelUri no endpoint 'userLogin.php'.