Iniciar sesión
Deutsch English Español Polski
Alta

WWBN/AVideo stored XSS vulnerability leads to takeover of any user's account, including admin's account

  • Publicada: 01.05.2023
  • Actualizado: 11.10.2026 10:22

In AVideo, a normal user can make a Meeting Schedule where the user can invite another user in that Meeting, but I found out that it did not properly sanitize the malicious characters when creating a Meeting Room. This leads the attacker to put malicious scripts.

Impact:

Since any USER including the ADMIN can see the meeting room that was created by the attacker this can lead to cookie hijacking and takeover of any accounts without user interaction.

Step to Reproduce:

  1. As normal USER go to Meet -> Schedule

https://demo.avideo.com/plugin/Meet/

  1. In "Meet topic" field put XSS payload

Example: "><img src=x onerror=alert('Pawned+by+Gonz')>

  1. Then click Save

  2. Now as ADMIN go to Meet -> Schedule -> Upcoming

https://demo.avideo.com/plugin/Meet/

  1. Then the XSS payload that normal USER created will be executed

Video POC: https://youtu.be/Nke0Bmv5F-o

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer wwbn/avideo < 12.4 12.4

Referencias

Puntuación CVSS 8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-79
Plataforma
Composer
Paquete
wwbn/avideo
Publicada
01.05.2023
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-xr9h-p2rc-rpqm - CC BY 4.0

Historial de vulnerabilidades: wwbn/avideo

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (160) en el archivo
Entradas en total
160
Primera → última
04.2022 06.2026
Sin corrección
143
Explotada en ataques
0

Distribución por gravedad

  • Crítica 14
  • Alta 61
  • Media 83
  • Baja 2

Divulgaciones por año

Gravedad:
  1. WWBN/AVideo stored XSS vulnerability leads to takeover of any user's account, including admin's account esta entrada
    Alta · 8.0 CVE-2023-30860 < 12.4 12.4
  2. AVideo has an incomplete fix of CVE-2026-33482: sanitizeFFmpegCommand still allows a single '&' (background operator), giving OS command execution at the same execAsync sh -c sink
    Alta · 8.1 CVE-2026-55173 <= 29.0 sin corrección
  3. AVideo Vulnerable to Unauthenticated .env File Exposure via Official Docker Compose Configuration
    Alta · 7.5 CVE-2026-33692 < 29.0 29.0
  4. WWBN AVideo: Unauthenticated Stored DOM Cross-Site Scripting via Per-Client Metadata Broadcast in YPTSocket Plugin
    Crítica · 9.6 CVE-2026-54458 <= 29.0 sin corrección
  5. WWBN AVideo: Stored XSS via autoEvalCodeOnHTML Bypass in MessageSQLite WebSocket Handler (CVE-2026-43874 Bypass)
    Alta CVE-2026-49279 <= 29.0 sin corrección
  6. WWBN AVideo: Authenticated wallet credit bypass in AuthorizeNet processPayment endpoint
    Alta · 4.3 CVE-2026-47696 <= 29.0 sin corrección
  7. AVideo: OS command injection in on_publish.php execAsync via unescaped m3u8 URL
    Alta · 8.8 CVE-2026-45578 <= 29.0 sin corrección
  8. AVideo's Meet plugin: `uploadRecordedVideo.json.php` derives `users_id` from the uploaded filename and calls passwordless `User->login()`, allowing any caller with the Meet shared secret to obtain a session as arbitrary users including admin
    Alta · 8.1 CVE-2026-56345 <= 29.0 sin corrección
  9. AVideo Vulnerable to Exposure of Sensitive Information to an Unauthorized Actor and Missing Authorization
    Alta CVE-2026-43885 <= 29.0 sin corrección
  10. AVideo has SSRF Protection Bypass via HTTP Redirect and DNS Rebinding in isSSRFSafeURL()
    Alta · 7.7 CVE-2026-43884 <= 29.0 sin corrección
  11. AVideo has an Incomplete Fix for YPTSocket autoEvalCodeOnHTML Strip: Unauthenticated Cross-User JavaScript Execution via `$msg['json']` Relay Bypass
    Alta · 7.2 CVE-2026-43874 <= 29.0 sin corrección
  12. AVideo: Unauthenticated Disclosure of CloneSite `myKey` via Error Echo in `cloneClient.json.php` Enables Cross-Site DB Dump of the Configured Clone Server
    Alta · 7.5 CVE-2026-43873 <= 29.0 sin corrección
  13. WWBN AVideo: RCE cause by clonesite plugin
    Alta · 9.8 CVE-2026-41304 <= 29.0 sin corrección
  14. WWBN AVideo has an incomplete fix for CVE-2026-33502: Command Injection
    Alta · 9.3 CVE-2026-41064 <= 29.0 sin corrección
  15. WWBN AVideo has a SSRF via same-domain hostname with alternate port bypasses isSSRFSafeURL
    Alta · 7.7 CVE-2026-41060 <= 29.0 sin corrección
  16. WWBN AVideo has a CORS Origin Reflection Bypass via plugin/API/router.php and allowOrigin(true) Exposes Authenticated API Responses
    Alta · 7.1 CVE-2026-41057 <= 29.0 sin corrección
  17. WWBN AVideo has CORS Origin Reflection with Credentials on Sensitive API Endpoints Enables Cross-Origin Account Takeover
    Alta · 8.1 CVE-2026-41056 <= 29.0 sin corrección
  18. WWBN AVideo has Multiple CSRF Vulnerabilities in Admin JSON Endpoints (Category CRUD, Plugin Update Script)
    Alta · 7.1 CVE-2026-40926 <= 29.0 sin corrección
  19. WWBN AVideo has CSRF in configurationUpdate.json.php Enables Full Site Configuration Takeover Including Encoder URL and SMTP Credentials
    Alta · 8.3 CVE-2026-40925 <= 29.0 sin corrección
  20. WWBN AVideo YPTSocket WebSocket Broadcast Relay Leads to Unauthenticated Cross-User JavaScript Execution via Client-Side eval() Sinks
    Crítica · 10.0 CVE-2026-40911 <= 29.0 sin corrección
  21. WWBN AVideo has a Path Traversal in Locale Save Endpoint Enables Arbitrary PHP File Write to Any Web-Accessible Directory (RCE)
    Alta · 8.7 CVE-2026-40909 <= 29.0 sin corrección
Mostrar más (20) Mostrando 21 de 75

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.