CVE-2022-28712criticalCWE-79

CVE-2022-28712

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9epss 3.1%

probabilidad de explotación

3.1%top 13% de las CVE

explotación observada

noninguna fuente lo reporta

En resumen

Un fallo en WWBN AVideo permite que atacantes inyecten código malicioso que se ejecuta en el navegador del usuario al usar la función de carga de vídeos. Si un usuario hace clic en un enlace preparado o visita una página maliciosa, su cuenta y datos podrían ser comprometidos.

Detalle técnico

Vulnerabilidad de cross-site scripting (XSS) en la funcionalidad videoAddNew de WWBN AVideo 11.6 y dev master (commit 3f7c0364) permite ejecución arbitraria de JavaScript a través de una solicitud HTTP especialmente elaborada. El ataque requiere ingeniería social para engañar a un usuario autenticado, pero una vez ejecutado, otorga al atacante acceso a la sesión y datos sensibles del usuario.

Resumen generado y traducido por IA a partir de la descripción oficial.

A cross-site scripting (xss) vulnerability exists in the videoAddNew functionality of WWBN AVideo 11.6 and dev master commit 3f7c0364. A specially-crafted HTTP request can lead to arbitrary Javascript execution. An attacker can get an authenticated user to send a crafted HTTP request to trigger this vulnerability.

CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Productos afectados

WWBN · AVideo

Referencias

https://github.com/WWBN/AVideo/blob/e04b1cd7062e16564157a82bae389eedd39fa088/updatedb/updateDb.v12.0.sql https://talosintelligence.com/vulnerability_reports/TALOS-2022-1540