CVE-2026-54458
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.6
- EPSS
- 0.5%
- CWE
- CWE-79
- KEV Durumu
- Hayır
Yayım tarihi: 15 Temmuz 2026
WWBN AVideo, açık kaynaklı bir video platformudur. 29.0 sürümünden önceki sürümler, YPTSocket eklentisinde depolanmış bir DOM Cross-Site Scripting zafiyeti içerir. Herhangi bir kimlik doğrulamalı uzaktan saldırgan, şu anda bir sayfayı görüntüleyen her yöneticinin kimlik doğrulama kökeninde keyfi JavaScript kodu çalıştırabilir. plugin/YPTSocket/getWebSocket.json.php, herhangi bir anonim çağrıya imzalı bir WebSocket jetonunu verir ve MessageSQLiteV2::onOpen, plugin/YPTSocket/MessageSQLiteV2.php dosyasının 91 ve 110. satırlarında, WebSocket bağlantı URL'sinden webSocketSelfURI ve page_title sorgu parametrelerini herhangi bir doğrulama olmadan okur. Her iki değer de bellekteki SQLite bağlantıları tablosuna kalıcı olur ve bağlı her istemciye gönderilen users_id_online dizisi içinde yayınlanır; istemci tarafında, plugin/YPTSocket/script.js::updateSocketUserCard, yayınlanan page_title değerini bir HTML şablon literaline yerleştirir ve bu literal jQuery $.append(html) ile geçirilir, bu da saldırganın baytlarını canlı DOM düğümlerine, içlerinde <img> ile satır içi olay işleyicileri bulunan düğümlere çevirir. Başarılı saldırganlar, HttpOnly olmayan çerezleri ve yönetici panosunda oluşturulan CSRF tokenini okuyabilir, yöneticiye özel herhangi bir son noktaya kimlik doğrulamalı istekler gönderebilir, yönetici panosu DOM'unu çıkarmak için kullanabilir ve yönetici bağlamındaki herhangi bir mutasyonu zincirleyebilir. Kurban bir AVideo yöneticisi olduğunda, saldırgan tek bir anonim WebSocket bağlantısını, yöneticinin kendi oturumunu kullanarak tam yönetici ele geçirme yoluyla dönüştürebilir. Bu sorun, https://github.com/WWBN/AVideo/commit/8be71e53ccbe9b84b30870db386fb4d2b11e1c16 aracılığıyla düzeltildi.
Orijinal açıklama (İngilizce)
WWBN AVideo is an open source video platform. Versions prior to 29.0 contain a stored DOM Cross-Site Scripting vulnerability in the YPTSocket plugin. Any unauthenticated remote attacker can execute arbitrary JavaScript in the authenticated origin of every administrator currently viewing a page that renders the YPTSocket online-users debug panel. plugin/YPTSocket/getWebSocket.json.php issues a signed WebSocket token to any anonymous caller, and MessageSQLiteV2::onOpen at plugin/YPTSocket/MessageSQLiteV2.php lines 91 and 110 reads the attacker-controlled webSocketSelfURI and page_title query parameters from the WebSocket connection URL with no validation. Both values persist into the in-memory SQLite connections table and broadcast inside the users_id_online array sent to every connected client; on the client, plugin/YPTSocket/script.js::updateSocketUserCard interpolates the broadcast page_title into an HTML template literal that is passed to jQuery $.append(html), which parses attacker bytes into live DOM nodes including <img> with inline event handlers. Successful attackers can can read non-HttpOnly cookies and the CSRF token rendered into the admin dashboard, issue authenticated requests to any admin-only endpoint, exfiltrate the admin dashboard DOM, and chain into any admin-context mutation. When the victim is an AVideo administrator, the attacker turns a single anonymous WebSocket connection into full administrative takeover via the admin's own session. This issue has been patched by https://github.com/WWBN/AVideo/commit/8be71e53ccbe9b84b30870db386fb4d2b11e1c16.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.