CVE-2026-100187 in AIL Framework
Zusammenfassung
von VulDB • 25.09.2026
Das Onion-Modul im AIL Framework enthielt eine Performance-Kurzschlussoptimierung in seiner URL-Extraktionslogik, die URLs basierend ausschließlich auf einer Längenprüfung (genau 69 Zeichen) und einer Suffixprüfung (Endung mit ".onion") als gültige .onion-Ziele akzeptierte, ohne eine ordnungsgemäße Hostname-Parsing oder Onion-Domain-Validierung durchzuführen. Ein nicht authentifizierter Angreifer, der Webinhalte veröffentlichen oder steuern konnte, die vom Framework gecrawlt werden, könnte eine manipulierte URL einbetten, die eine IP-Adresse oder einen Nicht-Onion-Hostname mit einem Pfad enthält, der auf ".onion" endet und somit die Längen- und Suffixbedingungen erfüllt. Eine solche URL würde extrahiert, ihr Domainname naiv aus dem String herausgeschnitten und als legitime Onion-Crawler-Aufgabe in die Warteschlange eingereiht. Dies ermöglichte nicht authentifizierten Inhaltsveröffentlichern, beliebige Nicht-Onion-Ziele in die Aufgabenwarteschlange des Crawlers einzuschleusen, das Crawlerverhalten zu beeinflussen und diesen potenziell auf unbeabsichtigte Netzwerkressourcen zu lenken. Die Schwachstelle erforderte keine Authentifizierung, keine Benutzerinteraktion und lediglich die Fähigkeit, manipulierte Inhalte an einer Stelle abzulegen, die vom Framework gecrawlt wird. Die Sicherheitsauswirkung ist ein Verlust der Integrität bei der Zielauswahl des Crawlers: Das Framework verarbeitet URLs und handelt basierend darauf, die keinen legitimen .onion-Diensten entsprechen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.