Identificador / NVD
CVE-2026-105089
Ficha técnica de vulnerabilidade
Análise técnica
O AVideo permite que usuários com permissão de upload definam um URL malicioso para o trailer1 do vídeo. O valor é inserido sem escape nos templates YouPHPFlix2 e nas playlists de canais, possibilitando quebra de strings onclick ou atributos src de iframe e execução de JavaScript no navegador da vítima. A falha afeta todas as versões até 29.2.0 e pode ser explorada por usuários internos com permissões de upload.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
WWBN AVideo through 29.2.0 contains a stored cross-site scripting vulnerability that allows users with upload permission to inject script by setting a malicious video trailer1 URL. The value is rendered unescaped in YouPHPFlix2 templates and channel playlists, letting attackers break out of onclick strings or iframe src attributes to execute JavaScript in victims' browsers.
Resposta recomendada
Atualize o AVideo para a versão que corrige a sanitização de URLs (≥29.2.1). Enquanto isso, restrinja a permissão de upload a usuários de confiança e valide/escape URLs de trailer antes de armazená‑los.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.