CVE-2026-40911

CRÍTIC (10,0)

CVSS3: 0,0

WWBN AVideo és una plataforma de vídeo de codi obert. En les versions 29.0 i anteriors, el servidor WebSocket del connector YPTSocket retransmet els cossos dels missatges JSON proporcionats per un atacant a tots els clients connectats, sense sanejar els camps ‘msg’ o ‘callback’. Al costat del client, el fitxer ‘plugin/YPTSocket/script.js’ conté dos punts d’execució ‘eval()’ que reben dades directament d’aquests camps retransmesos (‘json.msg.autoEvalCodeOnHTML’ a la línia 568 i ‘json.callback’ a la línia 95). Atès que es generen testimonis (tokens) per als visitants anònims i que aquests no es tornen a validar més enllà del seu desxifratge, un atacant no autenticat pot difondre codi JavaScript arbitrari que s’executa en l’origen de cada usuari connectat en aquell moment (inclosos els administradors); això pot derivar en la presa de control total de comptes, el robatori de sessions i l’execució d’accions amb privilegis.

Sistemes Afectats

• Wwbn Avideo

Remediació

El commit c08694bf6264eb4decceb78c711baee2609b4efd conté una correcció. Vegeu-ne les Referències.

Referències

• Patch
• Exploit;Vendor Advisory
• Exploit;Vendor Advisory