CVE-2026-77615
Paella Player: Stored XSS via caption cue text
CVSS 3.1High
8.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 19.7, 20.2, 2.12.11, 1.50.6
Обновите Paella Player до версии 2.12.11 или выше, а платформу Opencast до версий 19.7, 20.2 или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В видеоплеере Paella Player обнаружена хранимая XSS-уязвимость. Вредоносный скрипт внедряется через текстовые дорожки субтитров.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Отсутствие экранирования содержимого реплик субтитров (caption cue text) позволяет внедрять произвольный HTML/JS в DOM-дерево плеера.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Выполнение вредоносного JavaScript-кода в браузере пользователя, кража сессионных cookie-файлов и фишинг внутри LMS/видеоплатформы.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
opencastopencast
все ранние➔Fix: 19.7
opencastopencast
>= 20.0➔Fix: 20.2
polimediaupvpaella-player
все ранние➔Fix: 2.12.11
——
>= 0➔Fix: 19.7
——
>= 20.0➔Fix: 20.2
——
>= 0➔Fix: 1.50.6
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)
- github.comhttps://github.com/opencast/opencast/security/advisories/GHSA-m6c8-jcw2-5r25
- github.comhttps://github.com/opencast/opencast/pull/7736
- github.comhttps://github.com/opencast/opencast/commit/701682c635f668228c3e8fb7b4564b3294788e40
- github.comhttps://github.com/polimediaupv/paella-core/commit/94a36490808ac5a1f60a0745d71ec9253f6d206b
- github.comhttps://github.com/polimediaupv/paella-core/commit/9b2f14ec4cf55efaf4c045c77a5ed8f5ec559ab4
- github.comhttps://github.com/polimediaupv/paella-player/commit/6fe4af7306044198c8e91e2e7f4128428b83cf03
- github.comhttps://github.com/opencast/opencast/releases/tag/19.7
- github.comhttps://github.com/opencast/opencast/releases/tag/20.2
- github.comhttps://github.com/polimediaupv/paella-player/blob/a1b6c42467938a00a4b4d0b8c68435cd4f9d2a16/repos/paella-core/CHANGELOG.md?plain=1#L21
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-77615: Paella Player: Stored XSS via caption cue text. URL: https://cve.futuretools.ru/cve/CVE-2026-77615
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_77615,
title = {{CVE-2026-77615: Paella Player: Stored XSS via caption cue text}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77615}},
note = {Оперативный инженерный анализ киберугроз}
}