Identificador / NVD
CVE-2026-105086
Ficha técnica de vulnerabilidade
Análise técnica
No WWBN AVideo, a função safeString() remove tags antes de decodificar entidades, mas é chamada duas vezes, permitindo que entidades duplamente codificadas escapem e sejam armazenadas em títulos de vídeo. Usuários autenticados podem inserir HTML que será renderizado nas páginas de trending, galeria, embed e playlists, resultando em XSS armazenado. A vulnerabilidade afeta versões de 12.4 a 29.2.0.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
WWBN AVideo 12.4 through 29.2.0 contains a stored cross-site scripting vulnerability that allows authenticated uploaders to inject HTML by submitting doubly-encoded entities in video titles. Because safeString() strips tags before decoding entities and runs twice via setTitle() and save(), attackers can store markup that executes in trending, gallery, embed, and playlist pages.
Resposta recomendada
Atualize o AVideo para a versão 29.2.1 ou superior, que corrige a dupla decodificação. Como medida paliativa, desabilite uploads de vídeos por usuários não confiáveis e aplique filtragem de saída no front-end.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.