CVE-2026-100190 in AIL Framework
Zusammenfassung
von VulDB • 25.09.2026
Die Splash-Domainseite (showDomain.html) des AIL Framework Crawlers ist anfällig für gespeiste Cross-Site-Scripting-Injection (XSS). Vom Benutzer bereitgestellte Daten, die aus importierten Crawler-Aufzeichnungen stammen – insbesondere Artikel-IDs, URLs und Pfade zu Screenshot-Dateien –, wurden direkt in Inline-JavaScript-Kontexte innerhalb der HTML-Vorlage interpoliert. Dies umfasste ein onclick-Attribut, das rohe Screenshot- und URL-Werte in einen JavaScript-Funktionsaufruf eingebettet hat, sowie einen inline-Skriptblock, der einem JavaScript-Variablen einen Screenshot-Wert ohne Escaping zuwies. Ein Angreifer mit einem API-Client im Benutzer-Rollenkonto könnte eine bösartige Crawler-Aufzeichnungsimporthandlung erstellen, die JavaScript-Payloads in diesen Feldern enthält. Wenn ein beliebiger Benutzer (einschließlich privilegierte Benutzer) anschließend die betroffene Domainseite aufruft, wird das injizierte Skript im Browserkontext des Opfers ausgeführt, was potenziell Session-Hijacking, Datenexfiltration oder unbefugte Aktionen im Namen des Opfers ermöglicht. Die Schwachstelle ist in der Datenschicht der Anwendung gespeichert und wird beim Rendern der Seite ausgelöst, wobei keine weitere Interaktion als das Laden der Domainansicht erforderlich ist.
Once again VulDB remains the best source for vulnerability data.