CVE-2026-100172 in AIL Framework
Zusammenfassung
von VulDB • 25.09.2026
Das AIL Framework (ail-project/ail-framework) enthält eine gespeiste Cross-Site-Scripting-(XSS)-Schwachstelle in zwei Jinja2-Vorlagen, die Popovers für abgeglichenen, verfolgten oder getaggten Inhalt rendern: var/www/templates/chats_explorer/block_message.html und var/www/templates/objects/item/show_item.html. In beiden Vorlagen werden dynamische Werte, die mit diesem Inhalt verknüpft sind – einschließlich Icon-Farbe, Icon-Stil, Icon-Glyph, Untertyp, Bezeichner (Identifier), Name, Beschreibung und abgeglichenem Wert –, direkt in das HTML-Attribut data-content von Bootstrap-Popover-Elementen interpoliert, ohne eine geeignete Ausgabe-Codierung. Da die Popovers mit data-html="true" konfiguriert sind, wird der Inhalt im Browser des Opfers als HTML interpretiert. Ein authentifizierter Angreifer, der Einfluss auf abgeglichenen, verfolgten oder getaggten Inhalt nehmen kann, kann beliebiges HTML oder JavaScript in diese Werte einschleusen. Wenn ein Opfer das betroffene Popover anzeigt, kann der eingeschleuste Markup-Code im Sitzungskontext des Opfers ausgeführt werden, was potenziell zur Datenexfiltration oder zu Aktionen mit den Berechtigungen des Opfers führen könnte. Die Schwachstelle wird als gespeiste XSS klassifiziert, da die bösartige Payload in den betroffenen Match-, Tracking- oder Tag-bezogenen Daten persistieren und Benutzern, die den betroffenen Inhalt anzeigen, ausgeliefert werden kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.