CVE-2026-116139
Beschrijving NL
WWBN AVideo 26.0 tot en met 29.3.0 bevat een opgeslagen cross-site scripting-kwetsbaarheid waarmee geauthenticeerde reageerders JavaScript kunnen injecteren, omdat markDownToHTML() de event-handler-attributen in de begin-HTML-blokken bewaart. Aanvallers kunnen een reactie plaatsen die begint met een img-tag met een onerror-handler, waardoor de inline sanitizer wordt omzeild en de code in de browser van de gebruiker wordt uitgevoerd onder de applicatie-origin.
Origineel (Engels) tonen
WWBN AVideo 26.0 through 29.3.0 contains a stored cross-site scripting vulnerability that allows authenticated commenters to inject JavaScript because markDownToHTML() preserves event-handler attributes in leading HTML blocks. Attackers can post a comment starting with an img tag carrying an onerror handler, which bypasses the inline sanitizer and executes in viewers' browsers under the application origin.