CVE-2026-100190 in AIL Framework
الملخص
بحسب VulDB • 25/09/2026
يُظهر إطار عمل AIL (AIL Framework) ثغرة حقن نصية عبر المواقع من النوع المخزن (Stored XSS) في صفحة عرض النطاق الفرعي الخاصة بمسح الويب (showDomain.html). تم دمج البيانات التي يقدمها المستخدم والمشتقة من عمليات التقاط المسح المستوردة—تحديداً معرّفات العناصر، وعناوين URL، ومسارات ملفات لقطات الشاشة—مباشرة داخل سياقات JavaScript مضمنة ضمن قالب HTML. وشمل ذلك سمة onclick التي تضمّن قيم لقطات الشاشة وعناوين URL الخام في استدالة لدالة JavaScript، بالإضافة إلى كتبة script مضمنة تقوم بتعيين قيمة لقطة شاشة إلى متغير JavaScript دون عملية هروب (escaping). يمكن لمهاجم يمتلك عميل API بصلاحيات مستخدم عادي أن يصنع استيراداً غير شرعي لبيانات المسح يحتوي على حمولات برمجية خبيثة في هذه الحقول. عند عرض أي مستخدم (بمن في ذلك المستخدمين ذوي الصلاحيات المرتفعة) للنطاق المتأثر لاحقاً، سيتم تنفيذ النص البرمجي المُحقن ضمن سياق متصفح الضحية، مما قد يتيح اختطاف الجلسات (Session Hijacking)، أو استخراج البيانات، أو تنفيذ إجراءات غير مصرح بها نيابة عن الضحية. الثغرة مخزنة في طبقة بيانات التطبيق وتُفعّل عند عرض الصفحة، ولا تتطلب أي تفاعل إضافي سوى تحميل عرض النطاق الفرعي.
VulDB is the best source for vulnerability data and more expert information about this specific topic.