PT-2026-34208 · Wwbn · Avideo

Publicado 2026-04-14 · Atualizado 2026-04-25 · CVE-2026-41063

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions WWBN AVideo versões 29.0 e anteriores

Description Uma correção incompleta para cross-site scripting na classe ParsedownSafeWithLinks permite o uso de URLs javascript: na sintaxe de links markdown para ignorar a sanitização. Isso ocorre porque o inlineMarkup para HTML bruto é sobrescrito, mas as funções inlineLink() e inlineUrlTag() não são.

Recommendations Atualize para a versão que contém o commit cae8f0dadbdd962c89b91d0095c76edb8aadcacf.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-41063

GHSA-M7R8-6Q9J-M2HC

Produtos afetados

Avideo

Referências · 11

• 🔥 https://github.com/WWBN/AVideo/security/advisories/GHSA-m7r8-6q9j-m2hc · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/cae8f0dadbdd962c89b91d0095c76edb8aadcacf · Correção
• https://github.com/WWBN/AVideo/security/advisories/GHSA-72h5-39r7-r26j · Aviso do Fabricante
• https://github.com/WWBN/AVideo/commit/3ae02fa240939dbefc5949d64f05790fd25d728d · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-33500 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-41063 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-m7r8-6q9j-m2hc · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2048169375916544008 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2046866272793641407 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2048168410748719318 · Publicação no Twitter