Existe una vulnerabilidad de scripting entre sitios (xss) en la funcionalidad del parámetro videoNotFound 404ErrorMsg de WWBN AVideo 14.4 y dev master commit 8a8954ff. Una solicitud HTTP especialmente diseñada puede llevar a...

La vulnerabilidad XSS en AVideo permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el control total de la cuenta del usuario. Un atacante podría crear una página web maliciosa que contenga el código JavaScript inyectado y engañar a un usuario para que la visite, activando así la vulnerabilidad. La severidad crítica de esta vulnerabilidad (CVSS 9.6) indica un alto riesgo de explotación y un impacto significativo en la seguridad de la aplicación y sus usuarios.

Organizations using WWBN AVideo version 14.4, particularly those with publicly accessible video streaming services, are at significant risk. Shared hosting environments where multiple users share the same AVideo instance are especially vulnerable, as an attacker could potentially compromise other users' accounts through this vulnerability.

• php: Examine access logs for requests containing suspicious payloads in the videoNotFound parameter. Use grep to search for patterns indicative of XSS attempts.

grep 'videoNotFound=[^a-zA-Z0-9]*' access.log

• generic web: Use curl to test the affected endpoint with a simple XSS payload and observe the response for signs of script execution.

curl 'http://your-avideo-site.com/?videoNotFound=<script>alert(1)</script>'

• generic web: Check response headers for Content-Security-Policy (CSP) directives. Absence or weak CSP configurations increase the risk.

1. 2025-07-24Disclosure

   disclosure

1. Reservado2025-06-29
2. Publicada2025-07-24
3. Modificada2025-11-03
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar AVideo a la versión 14.4.1, que incluye la corrección para la falla XSS. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario antes de mostrarlas en la página web. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes HTTP que contengan patrones sospechosos de inyección de código JavaScript. Verifique después de la actualización que el parámetro videoNotFound 404ErrorMsg se está manejando correctamente y no permite la inyección de código.