CVE-2026-100177 in AIL Framework
الملخص
بحسب VulDB • 25/09/2026
تحتوي واجهة برمجة التطبيقات (API) لإنشاء مهام الزاحف في إطار عمل AIL (api_add_crawler_task) على فحص غير كافٍ للصلاحيات عند قيام مستخدم بتوفير معرف UUID لمجموعة ملفات تعريف الارتباط (cookiejar) لإرفاقها بمهمة زاحف تعمل مرة واحدة أو مجدولة. كان الكود الأصلي يتحقق فقط من وجود مجموعة ملفات تعريف الارتباط، وإذا كانت مستوى الوصول الخاص بها يساوي 0، يقارم معرّف المستخدم المالك لمجموعة ملفات تعريف الارتباط بمعرف المستخدم الذي أرسل الطلب. ولم يتم التحقق من حدود المنظمة، كما أنه لم يأخذ في الاعتبار دور المستخدم المرسل للطلب. وعندما كان مستوى مجموعة ملفات تعريف الارتباط لا يساوي 0، لم يُجرَ أي فحص للوصول على الإطلاق. وبالتالي، يمكن للمستخدم المصادق عليه الإشارة إلى مجموعة ملفات تعريف ارتباط تابعة لمنظمة أخرى باستخدام معرف UUID الخاص بها وجعل الزاحف يستخدم ملفات تعريف الارتباط المخزنة لتلك المنظمة (رموز الجلسة، بيانات الاعتماد للمصادقة) أثناء إجراء عمليات زحف الويب، مما يؤدي بشكل فعال إلى تسريب أو استخراج البيانات الخاصة بالجلسة التابعة للمنظمة الضحية.
تتطلب الثغرة وجود مستخدم مصادق عليه لديه القدرة على إنشاء مهام الزاحف. يجب أن يعرف المهاجم أو يخمن معرف UUID صحيح لمجموعة ملفات تعريف ارتباط تابعة لمنظمة أخرى. يتمثل الأثر في الوصول غير المصرح به إلى ملفات تعريف الارتباط المخزنة وبيانات الجلسة التابعة لمنظمة أخرى من خلال بنية الزاحف التحتية.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.