PT-2026-37294 · Avideo · Avideo
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
AVideo versões anteriores a 29.1
Descrição
Existe um problema onde o endpoint 'plugin/Meet/iframe.php' reflete os parâmetros de consulta
user e pass sem escape em um literal de string JavaScript com aspas duplas dentro de um bloco <script>. Isso permite que um invasor envie uma URL manipulada para uma vítima, saindo da string para executar JavaScript arbitrário no navegador da vítima sob a origem do AVideo. Isso pode ocorrer sem autenticação se existir um agendamento de Meet público no alvo. A causa raiz envolve uma reflexão em duas etapas onde a função loginFromRequestToGet() retorna a concatenação bruta dos parâmetros de requisição sem sanitização, que é então emitida em um literal de string JS sem escape.Recomendações
Para versões anteriores a 29.1, aplique a codificação JSON no sink em 'plugin/Meet/iframe.php' para garantir que a string permaneça como um literal JS válido. Além disso, atualize a função
loginFromRequestToGet() em 'objects/user.php' para usar rawurlencode nos parâmetros user e pass.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Avideo