CVE-2026-61575— AVideo-Encoder 存储型跨站脚本漏洞
一分钟漏洞结论
影响对象
WWBN AVideo-Encoder
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
AVideo 是一个视频分享平台。在 8.1.0 版本之前， 文件会对由调用者控制的 参数使用 函数提取文件名，并通过 方法将其未经任何净化处理直接存储到 字段中。由于 未被包含在 的过滤列表中，且提交队列条目所需的 权限可通过攻击者控制的登录站点自行授予（无需合法的编码器凭据），因此攻击者可以提交恶意数据。 会从 加载 数据并渲染到 jQuery Bootgrid 表格（ ）中；其标题格式化器会将 直接拼接为原始 HTML 单元格内容。因此，攻击者能够存储包含 HTML 事件处理器的标题，该脚本将在拥有高权限的浏
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-61575 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
AVideo-Encoder vulnerable to stored DOM cross-site scripting through queue titles
来源: CVE Program / CVE List V5
Vulnerability Description
AVideo is a video-sharing Platform. Prior to 8.1.0, `view/queue.php` uses `pathinfo` on the caller-controlled `fileURI` and stores its filename through `setTitle` in `encoder_queue.title` without neutralization. `fileURI` is not in the `objects/security.php` filter lists, and the `Login::canUpload()` capability needed to submit a queue entry can be self-granted using an attacker-controlled login site without legitimate encoder credentials. `view/index.php` loads `queue.json` from `view/queue.json.php` into the `#grid` jQuery Bootgrid table; its title formatter concatenates `row.title` into raw cell HTML. An attacker can therefore store an HTML title whose event handler runs in a privileged viewer's browser. `Encoder::getAll` limits nonadministrators to their own streamer's rows, so the victim must be an administrator who sees all rows or an operator on the attacker's streamer. A second `.html()` sink in the progress panel uses the same title but additionally depends on a helper script loaded from the streamer; the Bootgrid sink is reachable from encoder code alone. The script can read session-visible data and rendered streamer credentials, act with the viewer's privileges, and execute again for each qualifying viewer until the row is removed. This issue is fixed in version 8.1.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| WWBN | AVideo-Encoder | < 8.1.0 | - |
|
二、漏洞 CVE-2026-61575 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-61575 的情报信息
请登录查看更多情报信息。
CVE-2026-61575 其他参考 (3)
-
https://github.com/WWBN/AVideo-Encoder/releases/tag/v8.1.0 x_refsource_MISC
-
https://github.com/WWBN/AVideo-Encoder/security/advisories/GHSA-w2g8-p296-r5g9 x_refsource_CONFIRM
同批安全公告 · WWBN · 2026-10-28 · 共 7 条
| CVE-2026-61567 | 10.0 CRITICAL | AVideo-Encoder 信任流媒体登录导致远程命令执行漏洞 |
| CVE-2026-61564 | 10.0 CRITICAL | AVideo-Encoder 未授权安装程序 PHP 代码注入漏洞 |
| CVE-2026-61572 | 8.6 HIGH | AVideo-Encoder 未授权服务端请求伪造漏洞 |
| CVE-2026-61569 | 7.5 HIGH | AVideo-Encoder 认证前流媒体登录 SQL 注入漏洞 |
| CVE-2026-61571 | 7.3 HIGH | AVideo-Encoder 控制与状态端点缺少身份验证漏洞 |
| CVE-2026-61573 | 6.1 MEDIUM | AVideo-Encoder 登录界面反射型跨站脚本漏洞 |