„`html
Zusammenfassung
CVE-2026-45580 beschreibt eine Stored Cross-Site Scripting (XSS) Schwachstelle in WWBN AVideo Version 29.0 und älter. Die Vulnerabilität existiert im Live-Plugin und ermöglicht es authentifizierten Benutzern mit canStream-Berechtigung, persistente JavaScript-Payloads einzuschleusen, die von allen Besuchern ausgeführt werden.
Betroffene Systeme
Betroffen sind WWBN AVideo Installationen in Version 29.0 und früher. Das Live-Plugin muss aktiviert sein, um die Schwachstelle auszunutzen. Systeme mit deaktiviertem Live-Plugin sind nicht gefährdet.
Technische Details
Die Schwachstelle liegt in der unsicheren Verarbeitung des Stream-Keys in der YouTube-Style-Ansicht des Live-Plugins. Die Datei plugin/Live/saveLive.php gibt den Stream-Key direkt ohne Sanitization in ein HTML-Klassenattribut aus:
<div class="<?php echo $streamKey; ?>">
Fehlende htmlspecialchars()-Funktion ermöglicht das Brechen aus dem Attribut mittels Anführungszeichen und Einfügen von Event-Handler-Attributen wie onload oder onerror. Ein Angreifer mit canStream-Berechtigung kann einen manipulierten Stream-Key wie folgt speichern:
" onload="alert(document.cookie)
Beim Aufrufen der Live-Stream-Seite führt jeder Besucher (authentifiziert oder anonym) das injizierte JavaScript im Kontext der Plattform aus, was Zugriff auf Cookies, Session-Tokens und sensible Daten ermöglicht.
Empfohlene Massnahmen
- Stream-Keys mit
htmlspecialchars(ENT_QUOTES, 'UTF-8')escapen - Eingabevalidierung für Stream-Key-Parameter implementieren
- Content Security Policy (CSP) Header setzen
- Benutzerrechte für Live-Plugin restriktiv vergeben
- Live-Plugin deaktivieren, falls nicht erforderlich
- Auf Patch warten und zeitnah einspielen
Bewertung
Mit CVSS 5.4 (Medium) wird die Schwachstelle als moderat eingestuft. Kritisch ist die Persistenz der Payload und das Fehlen eines Patches. Die Ausnutzung erfordert jedoch canStream-Berechtigung, was die Angriffsfläche reduziert.
„`