CVE-2026-92584

Nome do Software Vulnerável e Versões Afetadas AVideo versões anteriores a 29.1

Description Um problema de cross-site scripting armazenado existe onde o endpoint não autenticado 'objects/videoAddViewCount.json.php' chama a função VideoStatistic::save(). Este processo grava a string User-Agent do chamador, recuperada via getUserAgentInfo(), diretamente na coluna app da tabela videos statistics sem a sanitização adequada através de setApp(), já que normalizeApp() apenas trunca o valor. Quando o proprietário de um vídeo ou um administrador acessa a página de estatísticas 'view/videoViewsInfo.php', o campo é renderizado usando um renderizador não escapado no DataTables 1.12.1. Como o DataTables utiliza innerHTML para atribuir o conteúdo da célula, o HTML fornecido pelo invasor é executado na sessão autenticada do usuário privilegiado.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.