CVE-2026-34375WWBN AVideo是一个开源视频平台。在26.0及以下版本中，YPTWallet Stripe支付确认页面存在跨站脚本（XSS）漏洞。该页面直接将`$_REQUEST['plugin']`参数回显到JavaScript代码块中，且未经过任何编码或清理。由于该参数未包含在`security.php`定义的输入过滤列表中，攻击者可以通过构造恶意URL诱骗受害者点击，从而注入任意JavaScript代码。此外，该脚本块还会输出当前用户的用户名和密码哈希值，导致成功利用XSS后可立即窃取凭据。
该漏洞的根本原因是WWBN AVideo在处理YPTWallet插件支付确认页面的输入时缺乏安全过滤。受影响页面直接从`$_REQUEST`全局数组中获取`plugin`参数，并将其原样嵌入到页面的`<script>`标签内。尽管框架在`security.php`中维护了一份输入过滤列表，但`plugin`参数被遗漏，导致它绕过了全局清理机制。攻击者可以利用这一点，构造包含恶意JavaScript代码的URL（例如：`?plugin=</script><img src=x onerror=alert(1)>`）。当受害者访问该链接时，恶意代码将在其浏览器会话中执行。更为严重的是，该页面的后端逻辑会调用`User::getUserName()`和`User::getUserPass()`将当前登录用户的敏感凭证直接打印在页面上下文中。攻击者通过注入的Payload可以轻松读取这些敏感数据并将其发送至远程服务器，从而完全接管用户账户。