WWBN AVideo: Gespeicherte Cross-Site-Scripting-Lücke über trailer1-URL in YouPHPFlix2-Vorlagen
Zusammenfassung
AVideo bis einschliesslich 29.2.0 escaped die trailer1-Video-URL in mehreren YouPHPFlix2-Vorlagen und Kanal-Playlists nicht. Ein Benutzer mit Upload-Berechtigung kann eine präparierte Trailer-URL speichern, die aus JavaScript-Zeichenketten oder iframe-Attributen ausbricht. Das Skript läuft anschliessend im Browser jedes Besuchers der betroffenen Seite, auch in dem von Administratoren, unter dem Ursprung der Website.
Betroffen
- WWBN AVideo bis einschliesslich 29.2.0 (VulnCheck-Bereich: 0 bis 29.2.0)
Behoben in
Unbekannt. Das Herstellerdokument GHSA-6wfr-c7fw-4xvw nennt keine gepatchte Version; der referenzierte Fix-Commit c4adfde ist noch keiner Version zugeordnet.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- Nicht im CISA-KEV-Katalog; keine bekannte aktive Ausnutzung gemeldet.
- CISA-SSVC-Wert für Exploitation: poc (ein Proof of Concept könnte existieren; nicht verifiziert).
- Angreifer benötigt ein Konto mit Upload-Berechtigung; CISA bewertet die Automatisierbarkeit als nein.
Unsere Empfehlung
- Upload- und Videobearbeitungsrechte auf vertrauenswürdige Mitarbeitende beschränken.
- Bestehende trailer1-Werte auf skriptartige Inhalte prüfen.
- Zugriff auf das Admin-Panel einschränken und Konten mit Upload-Rechten überprüfen.
- Prüfen, ob AVideo aus dem Internet erreichbar ist, und ein Update planen, sobald die gepatchte Version im GHSA-Advisory bestätigt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-105089 record (VulnCheck advisory) www.vulncheck.com
- GitHub Security Advisory GHSA-6wfr-c7fw-4xvw github.com
- Fix commit c4adfde github.com
- CVE JSON record (CISA ADP) raw.githubusercontent.com
- OSV record osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:28.
Referenzen der NVD (4)
- https://github.com/WWBN/AVideo/commit/c4adfde13d1f18e3a415722471efdcd8ab480035
- https://github.com/WWBN/AVideo/security/advisories/GHSA-6wfr-c7fw-4xvw
- https://www.vulncheck.com/advisories/wwbn-avideo-through-29.2.0-stored-xss-via-trailer1-in-youphpflix2-templa…
- https://github.com/WWBN/AVideo/security/advisories/GHSA-6wfr-c7fw-4xvw
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.