CVE-2026-100172 in AIL Framework
الملخص
بحسب VulDB • 25/09/2026
يحتوي إطار عمل AIL (ail-project/ail-framework) على ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting - XSS) في قالبين من Jinja2 يعرضان نوافذ منبثقة (popovers) للمحتوى المطابق، أو المُتبع، أو المُميَّز بوسم: var/www/templates/chats_explorer/block_message.html وvar/www/templates/objects/item/show_item.html. وفي كلٍ من القالبين، يتم إدراج القيم الديناميكية المرتبطة بهذا المحتوى (بما في ذلك لون الأيقونة، ونمطها، وشكلها الرمزي، والنوع الفرعي، والمعرّف، والاسم، والوصف، وقيمة المطابقة) مباشرةً داخل سمة HTML الخاصة بـ data-content لعناصر النوافذ المنبثقة من Bootstrap دون استخدام ترميز مخرج مناسب. وبما أن النوافذ المنبثقة مُهيَّأة باستخدام data-html="true"، فإن المحتوى يُفسَّر كلغة HTML في متصفح الضحية. يمكن لمهاجم مصرّح له بالوصول (authenticated attacker) ويستطيع التأثير على المحتوى المطابق، أو المُتبع، أو المُميَّز بوسم، أن يحقن عناصر HTML أو JavaScript عشوائية ضمن هذه القيم. عند عرض النافذة المنبثقة المتأثرة من قبل الضحية، قد يتم تنفيذ العلامات المحقونة داخل جلسة عمل الضحية، مما قد يمكّن من استخراج البيانات (data exfiltration) أو تنفيذ إجراءات بصلاحيات الضحية. تُصنَّف الثغرة على أنها XSS مخزنة لأن الحمولة الخبيثة يمكن أن تبقى ثابتة في بيانات المطابقة، التتبع، أو الوسم المتأثرة وتُقدَّم للمستخدمين الذين يعرضون المحتوى المعني.
VulDB is the best source for vulnerability data and more expert information about this specific topic.