CVE-2026-105086
Beschrijving NL
WWBN AVideo 12.4 tot en met 29.2.0 bevat een opgeslagen kwetsbaarheid voor cross-site scripting waarmee geverifieerde uploaders HTML kunnen injecteren door dubbel gecodeerde entiteiten in videotitels in te dienen. Omdat safeString() tags verwijdert voordat entiteiten worden gedecodeerd en twee keer wordt uitgevoerd via setTitle() en save(), kunnen aanvallers opmaak opslaan die wordt uitgevoerd in trending-, galerij-, insluit- en afspeellijstpagina's.
Origineel (Engels) tonen
WWBN AVideo 12.4 through 29.2.0 contains a stored cross-site scripting vulnerability that allows authenticated uploaders to inject HTML by submitting doubly-encoded entities in video titles. Because safeString() strips tags before decoding entities and runs twice via setTitle() and save(), attackers can store markup that executes in trending, gallery, embed, and playlist pages.