PT-2026-34206 · Avideo · Avideo

CVE-2026-41061 · Publicado 2026-04-14 · Atualizado 2026-04-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões anteriores a 29.1

Description Existe um problema onde a função isValidDuration() em 'objects/video.php:918' utiliza uma expressão regular /^[0-9]{1,2}:[0-9]{1,2}:[0-9]{1,2}/ que carece de uma âncora de fim $. Isso permite que HTML ou JavaScript arbitrário seja anexado após um prefixo de duração válido. A duração manipulada é armazenada no banco de dados e renderizada sem a devida filtragem de HTML através da função Video::getCleanDuration() em páginas de tendências, páginas de playlists e miniaturas da galeria de vídeos, resultando em cross-site scripting (XSS) armazenado, um método onde scripts maliciosos são armazenados permanentemente em um servidor alvo.

Recommendations Atualize para uma versão que contenha o commit bcba324644df8b4ed1f891462455f1cd26822a45.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-41061

GHSA-8PV3-29PP-PF8F

Produtos afetados

Avideo

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41061.json · Exploit
• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-8pv3-29pp-pf8f · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/bcba324644df8b4ed1f891462455f1cd26822a45 · Correção
• https://osv.dev/vulnerability/CVE-2026-41061 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2048169391871688755 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2046868832476696901 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41061 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-8pv3-29pp-pf8f · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168412720103889 · Publicação no Twitter