CVE-2026-100176 in AIL Framework
Zusammenfassung
von VulDB • 25.09.2026
Die Username-Timeline-Funktion des AIL Frameworks ist anfällig für gespeichtertes Cross-Site-Scripting (XSS). Benutzernamen, die aus Chats und gecrawlten Foren importiert werden, werden ohne Zeichenbeschränkungen gespeichert. Wenn ein authentifizierter Analyst die Username-Timeline aufruft, rendert die Anwendung diese gespeicherten Benutzernamen in das DOM unter Verwendung der html()-Methode von D3 im Tooltip. Da der Benutzername-Wert (d.obj) direkt in einen HTML-String interpoliert wird, ohne dass eine Sanitization erfolgt, führt ein manipulierter Benutzername mit HTML-Ereignishandlern (z. B. <img src=x onerror=alert(1)>) zur Ausführung von beliebigem JavaScript im Browser des Analysten, wenn dieser über den entsprechenden Timeline-Eintrag fährt. Der Angriff erfordert, dass das Opfer ein authentifizierter Analyst ist, der Zugriff auf die Timeline-Ansicht hat und mit dem bösartigen Timeline-Eintrag interagiert (Hover). Eine erfolgreiche Ausnutzung kann zu Session-Hijacking, Datenexfiltration oder unbefugten Aktionen innerhalb der authentifizierten Sitzung des Analysten führen. Die Schwachstelle befindet sich in der clientseitigen JavaScript-Datei var/www/static/js/d3/timeline_basic.js.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.