CVE-2026-86188

Nome do Software Vulnerável e Versões Afetadas AVideo (versões afetadas não especificadas)

Description Quando o plugin YPTSocket está habilitado, existe um problema de cross-site scripting através do mecanismo de callback do websocket. Atacantes não autenticados podem executar JavaScript arbitrário nos navegadores de outros usuários enviando mensagens de socket manipuladas. Isso ocorre quando os nomes de callback resolvem para funções globais, como avideoConfirmHTML(), que aceitam dados não confiáveis e os atribuem ao innerHTML, permitindo a execução de scripts na origem da vítima sem autenticação ou interação do usuário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.