WWBN AVideo: Gespeichertes Cross-Site Scripting über doppelt kodierten Videotitel

Zusammenfassung

Authentifizierte Benutzer mit Upload-Berechtigung für Videos können HTML in Videotiteln speichern, indem sie doppelt kodierte Entities übermitteln. Da die Bereinigung der Titel Tags entfernt, bevor Entities dekodiert werden, und dies zweimal geschieht, wird der gespeicherte Code im Browser von Besuchern und Administratoren als JavaScript ausgeführt, etwa auf Seiten für Trending, Galerie, Einbettung und Playlist. Das Hersteller-Advisory GHSA-q62w-927x-vhhf stuft die Lücke als High ein.

Betroffen

• WWBN AVideo 12.4 bis 29.2.0
• Advisory GHSA-q62w-927x-vhhf (WWBN/AVideo, Composer-Paket wwbn/avideo)

Behoben in

Unbekannt. Das Hersteller-Advisory nennt keine korrigierte Version, und die Fix-Version konnte nicht bestätigt werden. Commit c4b6ca95a0ae3efa09919a98879870086cff150e wird als Patch referenziert.

Umgehung

• Vom Hersteller bestätigte Workaround ist nicht verfügbar.
• Upload- und Titelbearbeitungsrechte für Videos auf vertrauenswürdige Konten beschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im KEV-Katalog der CISA gelistet.
• Der Status eines öffentlichen Proof of Concept ist widersprüchlich und konnte nicht verifiziert werden.
• CISA SSVC: Ausnutzung poc, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Erstellung von Videos und Bearbeitung von Titeln auf vertrauenswürdige Konten beschränken.
• Bestehende Videotitel auf HTML- oder Skriptfragmente mit kodierten Entities prüfen.
• Prüfen, ob die AVideo-Instanz aus dem Internet erreichbar ist und mehrere Uploader hat; falls ja, das Risiko als hoch einstufen.
• Den Herstellerfix einspielen, sobald das GHSA-Advisory eine korrigierte Version bestätigt.
• Das Herstelleradvisory und den KEV-Status wöchentlich überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-q62w-927x-vhhf github.com
• Fix commit c4b6ca95a0ae3efa09919a98879870086cff150e github.com
• VulnCheck advisory www.vulncheck.com
• OSV CVE-2026-105086 osv.dev
• GitHub Security Advisories overview github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:27.