p PatchFirst

CVE-2026-41063

CVE-2026-41063 · WWBN AVideo has incomplete fix for CVE-2026-33500 (XSS)

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

WWBN AVideo is an open source video platform. In versions 29.0 and below, an incomplete XSS fix in AVideo's `ParsedownSafeWithLinks` class overrides `inlineMarkup` for raw HTML but does not override `inlineLink()` or `inlineUrlTag()`, allowing `javascript:` URLs in markdown link syntax to bypass sanitization. Commit cae8f0dadbdd962c89b91d0095c76edb8aadcacf contains an updated fix.

CVSS 5.4 · Moyenne · EPSS 0,2%

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • avideo

    Versions du logiciel
    • <= 29.0: Concernée

    Aucun correctif publié

  • wwbn/avideo Packagist

    Versions du logiciel
    • 10.4
    • 10.8
    • 11
    • 11.1
    • 11.1.1
    • 11.5
    • 11.6
    • 12.4
    • 14.3
    • 14.3.1
    • 14.4
    • 18.0
    • 21.0
    • 22.0
    • 24.0
    • 25.0
    • 26.0
    • 29.0
    Plages de versions concernées
    • ECOSYSTEM: ≤ 29.0

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →