CVE-2026-100176 in AIL Framework
الملخص
بحسب VulDB • 25/09/2026
تتميز ميزة "الجدول الزمني لاسم المستخدم" في إطار عمل AIL Framework بضعف يسمح بتنفيذ هجمات البرمجة عبر المواقع المخزنة (Stored XSS). يتم تخزين أسماء المستخدمين المستوردة من الدردشات والمنتديات التي تم زحفها إليها دون فرض قيود على الأحرف. عندما يعرض محلل مُصادق عليه الجدول الزمني لاسم المستخدم، يقوم التطبيق بعرض هذه الأسماء المخزنة في نموذج كائن المستند (DOM) باستخدام طريقة `html()` الخاصة بمكتبة D3 داخل التلميحات النصية (tooltips). ونظرًا لأن قيمة اسم المستخدم (`d.obj`) يتم إدراجها مباشرةً ضمن سلسلة نصية من نوع HTML دون أي عملية تنقية أو تطهير، فإن اسم مستخدم مُعدّ بعناية يحتوي على معالجات أحداث HTML (مثل `<img src=x onerror=alert(1)>`) سيؤدي إلى تنفيذ شيفرة JavaScript تعسفية في متصفح المحلل عند تمرير مؤشر الفأرة فوق عنصر الجدول الزمني ذي الصلة. تتطلب عملية الاستغلال أن يكون الضحية محللاً مُصادقاً عليه لديه وصول إلى عرض الجدول الزمني، وأن يتفاعل مع إدخال الجدول الزمني الخبيث (عن طريق التمرير). يمكن أن يؤدي الاستغلال الناجح إلى اختطاف الجلسة (Session Hijacking)، أو استخراج البيانات غير المصرح به، أو تنفيذ إجراءات غير مصرح بها ضمن جلسة المحلل المُصادق عليها. يقع هذا الضعف في ملف JavaScript الخاص بالواجهة الأمامية الموجود على المسار: `var/www/static/js/d3/timeline_basic.js`.
Be aware that VulDB is the high quality source for vulnerability data.