Alerta crítica: Se ha publicado la CVE-2026-105089, una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en WWBN AVideo hasta la versión 29.2.0. Un atacante con permisos de subida de vídeo puede inyectar JavaScript malicioso mediante una URL de tráiler manipulada, que se ejecuta en el navegador de las víctimas al visualizar contenido en plantillas YouPHPFlix2 y listas de reproducción de canal. La puntuación CVSS v4.0 es de 9.3 (Crítico), por lo que se recomienda aplicar la actualización o mitigación publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-105089 |
|---|---|
| Fabricante | WWBN |
| Producto | AVideo |
| Fecha de publicación | 2026-10-04 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Prioridad RyzerBot | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-105089 es una vulnerabilidad de tipo Cross-Site Scripting almacenado (Stored XSS), clasificada bajo la categoría CWE-79 (Improper Neutralization of Input During Web Page Generation). El fallo reside en WWBN AVideo, una plataforma de gestión y publicación de vídeo de código abierto, en todas las versiones hasta la 29.2.0 inclusive.
El origen del problema está en el manejo del campo trailer1 (URL del tráiler de un vídeo). Cuando un usuario con permisos de subida establece una URL especialmente diseñada para este campo, el valor se almacena en la base de datos sin una correcta neutralización. Posteriormente, ese valor se renderiza sin escapar en dos contextos concretos de la aplicación:
- Las plantillas de la interfaz YouPHPFlix2.
- Las listas de reproducción de canal (channel playlists).
En estos contextos, la URL del tráiler se inserta directamente dentro de atributos HTML como onclick o src de un iframe. Al no escaparse correctamente, un atacante puede «romper» la cadena del atributo y cerrar la etiqueta, inyectando así código JavaScript arbitrario que se ejecutará en el navegador de cualquier usuario que visite la página afectada.
La vulnerabilidad requiere que el atacante tenga al menos permisos de subida de vídeo en la plataforma, lo que reduce ligeramente la barrera de entrada pero no impide que el impacto sea crítico, especialmente en entornos donde existen múltiples usuarios con roles de publicación o donde la plataforma está expuesta a Internet.
El vector CVSS v4.0 es CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N, lo que indica que el ataque se realiza de forma remota (AV:N), con baja complejidad (AC:L), sin necesidad de técnicas de evasión (AT:N), con privilegios bajos (PR:L) y requiriendo interacción del usuario (UI:P). El impacto sobre la confidencialidad e integridad es alto tanto en el sistema vulnerable como en los sistemas colaterales (VC:H/VI:H/SC:H/SI:H), lo que subraya la gravedad del fallo.
El fabricante WWBN ha publicado un aviso de seguridad (GHSA-6wfr-c7fw-4xvw) y un commit de corrección (c4adfde13d1f18e3a415722471efdcd8ab480035) que deben revisarse y aplicarse con carácter prioritario.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-105089 afecta al producto AVideo del fabricante WWBN. Según la información publicada por CVE.org, todas las versiones hasta la 29.2.0 inclusive se consideran afectadas. No se ha publicado información sobre versiones anteriores específicas o ramas de soporte que estén exentas.
| Producto | Fabricante | Versiones afectadas | Estado |
|---|---|---|---|
| AVideo | WWBN | Hasta 29.2.0 (inclusive) | Afectada |
No se han publicado versiones no afectadas, parches intermedios o ramas de soporte alternativas en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante para obtener información detallada sobre la corrección disponible.
Impacto y riesgo
La vulnerabilidad presenta una puntuación CVSS de 9.3 con severidad CRITICAL según el vector CVSS:4.0. Este vector refleja un impacto alto en confidencialidad e integridad tanto en el componente vulnerable como en el sistema completo, con requisitos de ataque bajos y sin necesidad de autenticación previa más allá del permiso de subida de contenido.
El riesgo principal deriva de la naturaleza de Cross-Site Scripting almacenado (CWE-79). Un usuario con permisos de subida de vídeo puede inyectar código JavaScript arbitrario mediante una URL maliciosa en el campo trailer1. Este código se ejecuta sin saneamiento en las plantillas YouPHPFlix2 y en las listas de reproducción de canal, lo que permite al atacante:
- Ejecutar JavaScript en el navegador de las víctimas que visualicen el contenido.
- Romper la estructura de atributos HTML como
onclickoiframe srcpara inyectar código arbitrario. - Potencialmente robar credenciales, sesiones o realizar acciones en nombre del usuario autenticado.
El impacto se amplifica porque el vector de ataque es de red, la complejidad de ataque es baja y no se requieren privilegios especiales más allá del permiso estándar de subida. La interacción del usuario es necesaria para que el código se ejecute, pero el escenario de explotación es plausible en plataformas AVideo donde múltiples usuarios pueden publicar contenido.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se ha confirmado ni documentado ningún caso de aprovechamiento en campañas maliciosas, ni se ha incluido en listados públicos de vulnerabilidades explotadas conocidas.
La ausencia de esta información no debe interpretarse como una garantía de seguridad. Dada la criticidad de la vulnerabilidad y la facilidad de explotación descrita, se recomienda aplicar las actualizaciones o mitigaciones publicadas por el fabricante con carácter prioritario.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc se encuentra vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad.
No deben inventarse indicadores ni patrones de detección que no estén respaldados por las fuentes oficiales. Para la detección de posibles compromisos, se recomienda monitorizar los campos de URL de tráiler en las plantillas YouPHPFlix2 y revisar los registros de acceso en busca de solicitudes anómalas que contengan caracteres JavaScript codificados.
Cómo comprobar si estás afectado
Para determinar si tu instalación de AVideo es vulnerable a CVE-2026-105089, debes verificar la versión exacta del software que estás ejecutando. Según los datos publicados por CVE.org y NVD, todas las versiones de AVideo hasta la 29.2.0 inclusive están afectadas por esta vulnerabilidad de Cross-Site Scripting (XSS) almacenado.
El proceso de verificación debe incluir los siguientes pasos:
- Identifica la versión instalada: Accede al panel de administración de AVideo y localiza la sección de información del sistema o los ajustes generales. La versión suele mostrarse en el pie de página del panel o en la página «Acerca de».
- Compara con la versión afectada: Si tu versión es igual o anterior a
29.2.0, tu instalación es vulnerable. Si has aplicado una actualización posterior, consulta el aviso del fabricante para confirmar que el problema está resuelto. - Revisa los permisos de usuario: La vulnerabilidad requiere que el atacante tenga permisos de subida de vídeo. Audita qué cuentas de usuario tienen asignado este rol y verifica si hay cuentas sospechosas o inactivas que conserven dichos privilegios.
- Inspecciona los vídeos existentes: Revisa los campos
trailer1de los vídeos subidos, especialmente en canales y plantillas YouPHPFlix2. Busca URLs inusuales o que contengan caracteres como comillas, paréntesis o código JavaScript.
Si no puedes determinar la versión con certeza, contacta con el administrador del sistema o consulta la documentación interna de despliegue. No asumas que estás protegido sin una verificación explícita.
Mitigación y actualización
La única mitigación oficial confirmada por el fabricante es la aplicación del commit c4adfde13d1f18e3a415722471efdcd8ab480035 en el repositorio de WWBN/AVideo. Este parche corrige el escape inadecuado del valor trailer1 en las plantillas afectadas. Se recomienda encarecidamente aplicar esta corrección o actualizar a una versión que la incluya.
Mientras tanto, puedes reducir el riesgo de explotación siguiendo estas medidas temporales:
- Restringe los permisos de subida: Limita la capacidad de subir vídeos únicamente a usuarios de confianza. Revisa periódicamente los roles y elimina permisos innecesarios.
- Revisa manualmente los campos de URL: Si utilizas plantillas YouPHPFlix2 o listas de reproducción de canal, valida que las URLs de los trailers no contengan código inyectado.
- Monitoriza los registros de actividad: Presta atención a modificaciones inusuales en los metadatos de los vídeos, especialmente en el campo
trailer1. - Segmenta el acceso: Si es posible, aísla la instancia de AVideo de otros sistemas críticos de tu infraestructura para limitar el impacto de un compromiso.
No se han publicado versiones corregidas específicas más allá del commit mencionado. Consulta el aviso oficial del fabricante en GitHub para obtener información actualizada sobre nuevas versiones o parches adicionales.
Checklist para administradores
- ☐ He identificado la versión exacta de AVideo instalada en mi entorno.
- ☐ He confirmado si mi versión está dentro del rango afectado (≤ 29.2.0).
- ☐ He revisado los permisos de usuario y restringido la subida de vídeos a cuentas de confianza.
- ☐ He inspeccionado los campos
trailer1de los vídeos existentes en busca de contenido sospechoso. - ☐ He aplicado el commit de corrección
c4adfde13d1f18e3a415722471efdcd8ab480035o actualizado a una versión que lo incluya. - ☐ He monitorizado los registros de actividad para detectar modificaciones anómalas en los metadatos de los vídeos.
- ☐ He revisado el aviso oficial del fabricante (GHSA-6wfr-c7fw-4xvw) y las referencias de VulnCheck para obtener detalles adicionales.
- ☐ He documentado las acciones realizadas y los plazos de aplicación de la mitigación.
Preguntas frecuentes
¿Qué es CVE-2026-105089?
Es una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en WWBN AVideo hasta la versión 29.2.0. Permite a usuarios con permisos de subida inyectar código JavaScript mediante una URL maliciosa en el campo trailer1 de un vídeo. El código se ejecuta en el navegador de las víctimas cuando visualizan plantillas YouPHPFlix2 o listas de reproducción de canal.
¿Qué puntuación CVSS tiene esta vulnerabilidad?
La puntuación CVSS v4.0 asignada es 9.3, con severidad CRITICAL. El vector completo es CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N.
¿Qué usuarios pueden explotar esta vulnerabilidad?
Según la descripción publicada, el atacante necesita tener permisos de subida de vídeo en la plataforma. No se trata de una vulnerabilidad explotable de forma remota sin autenticación, pero el impacto en la confidencialidad e integridad es alto.
¿Existe algún exploit público disponible?
No se ha publicado información sobre exploits funcionales en las fuentes consultadas. La ausencia de exploits públicos no debe interpretarse como una reducción del riesgo, dado el alto nivel de criticidad asignado.
¿Cómo puedo saber si mi instalación ha sido comprometida?
Revisa los vídeos existentes y busca URLs inusuales en el campo trailer1. También puedes auditar los registros de actividad para identificar modificaciones sospechosas en los metadatos de los vídeos. Si encuentras contenido inyectado, asume que el sistema ha sido comprometido y actúa en consecuencia.
¿Qué debo hacer si no puedo aplicar el parche de inmediato?
Aplica las medidas temporales descritas en la sección de mitigación: restringe los permisos de subida, revisa manualmente los campos de URL y monitoriza los registros. Estas acciones no eliminan la vulnerabilidad, pero reducen la superficie de ataque mientras gestionas la actualización.
Fuentes oficiales
Para obtener información detallada y actualizada, consulta las siguientes referencias oficiales:
- NVD – CVE-2026-105089
- Aviso oficial del fabricante (GitHub Security Advisory)
- Commit de corrección en el repositorio oficial
- Advisory de VulnCheck
Mantente atento a las actualizaciones del fabricante y aplica los parches recomendados lo antes posible. La exposición prolongada a esta vulnerabilidad puede comprometer la seguridad de tu plataforma y la de tus usuarios.