CVE-2026-71447 in AIL Framework
Zusammenfassung
von VulDB • 07.08.2026
Im AIL-Projekt besteht eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle (Stored XSS) in den Übersetzungssteuerelementen, die für Chat-Nachrichten und Forenbeiträge angezeigt werden.
Die betroffenen Vorlagen fügten Nachrichten- und Beitragskennungen direkt in Inline-JavaScript onclick-Handler ein:
onclick="translateMessageToPreferredLanguage('{{ message['id'] }}', '{{ mess_id_escape }}', this)"
und:
onclick="translatePostToPreferredLanguage('{{ post['id'] }}', '{{ post_id_escape }}', this)"
Diese Werte wurden zwar HTML-Vorlagen-gerecht maskiert, aber nicht sicher für die Verwendung als JavaScript-Zeichenfolgenliterale innerhalb eines HTML-Attributs kodiert. Eine speziell angefertigte Kennung, die Anführungszeichen, Escape-Zeichen oder andere JavaScript-Syntax enthält, kann daher das erwartete Zeichenfolgenargument beenden und beliebigen JavaScript-Code in den Event-Handler einschleusen.
Da es sich bei den betroffenen Werten um indizierte Chat-Nachrichten oder Forenbeiträge handelt, kann ein bösartiger Wert von AIL gespeichert bleiben und jedes Mal gerendert werden, wenn ein Analyst die entsprechende Explorer-Ansicht für Chats oder Foren aufruft.
Für eine erfolgreiche Ausnutzung muss das Opfer auf den betroffenen Button „In bevorzugte Sprache übersetzen“ klicken. Der eingeschleuste Code wird dann im Browser des Opfers unter dem Sicherheitsursprung der AIL-Instanz ausgeführt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.