PT-2026-29360 · Unknown+1 · Jquery Toast Plugin+1

Adrgs · Publicado 2026-03-31 · Atualizado 2026-04-01 · CVE-2026-34716

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions AVideo versões 26.0 e anteriores

Description O recurso de chamadas do plugin YPTSocket do AVideo, em versões 26.0 e anteriores, renderiza as notificações de chamadas recebidas usando o plugin jQuery Toast, passando o nome de exibição do chamador diretamente como o parâmetro de título. O plugin toast constrói o título como HTML bruto e o insere no DOM através do método .html() do jQuery, que analisa e executa qualquer conteúdo HTML ou script incorporado. Um invasor pode definir seu nome de exibição como um payload de scripting entre sites (XSS) e acionar a execução de código no navegador de qualquer usuário online simplesmente iniciando uma chamada. Nenhuma interação da vítima é necessária além de estar conectado ao WebSocket.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-34716

GHSA-W4HP-W536-JG64

Produtos afetados

Avideo

Jquery Toast Plugin

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34716.json · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/security/advisories/GHSA-w4hp-w536-jg64 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w4hp-w536-jg64 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2039372122439479332 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-34716 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34716 · Nota de Segurança