anonhaven
Ad

CVE-2026-89256

CRITICAL CVSS 4.0: 9,3 EPSS 0.32%
Обновлено 11 сентября 2026
Payload
Параметр Значение
CVSS 9,3 (CRITICAL)
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик Payload
Публичный эксплойт Нет

AVideo через фиксацию c3edcc274c389816d434acadac07ee78eaf330c1 содержит сохраненную уязвимость межсайтового скриптинга в плагине Bookmark, из-за которой имена глав не кодируются перед объединением в общедоступный HTML-код страницы просмотра. Владелец видео может внедрить вредоносные сценарии через параметр имени закладки, и каждый посетитель этого видео выполняет полезную нагрузку в источнике AVideo.

Показать оригинальное описание (EN)

AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 contains a stored cross-site scripting vulnerability in the Bookmark plugin where chapter names are not encoded before being concatenated into public watch-page HTML. A video owner can inject malicious scripts via the bookmark name parameter, and every visitor of that video executes the payload in the AVideo origin.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

Ссылки 2

https://github.com/WWBN/AVideo/security/advisories/GHSA-jggq-mm5m-r5wv
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/avideo-bookmark-plugin-stored-xss-via-chap…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-81918

Payload

4,8

CVE-2026-81917

Payload

5,1

CVE-2026-54165

Payload

6,4

CVE-2026-81911

Payload

5,8

CVE-2026-89009

Payload

8,8