CVE-2026-100174 in AIL Framework
Resumen
por VulDB • 2026-09-25
El componente selector de etiquetas del Framework AIL (var/www/static/js/tags.js) es vulnerable a cross-site scripting almacenado (XSS). Un usuario con la capacidad de crear una etiqueta personalizada podría incrustar un payload HTML que contenga manejadores de eventos JavaScript (por ejemplo, <img src=x onerror=alert(1)> o <svg onload=...>) en el nombre de la etiqueta. Cuando otro usuario autenticado abría una página que contenía el selector de etiquetas, el nombre de la etiqueta maliciosa se insertaba en el DOM utilizando la propiedad html de jQuery, lo que provocaba la ejecución del script incrustado dentro del contexto del navegador de la víctima.
Las rutas de código vulnerables afectaban tanto al renderizado de sugerencias/elementos combinados (_renderComboItems) como a la lógica de renderizado de etiquetas seleccionadas. En ambos casos, el valor de visualización derivado del displayField de la etiqueta se pasaba directamente a la propiedad html de un constructor de elementos jQuery, que analiza e inserta la cadena como HTML en bruto en lugar de texto plano.
Precondiciones: el atacante debe tener una cuenta autenticada con permisos para crear etiquetas personalizadas, y la víctima debe ser un usuario autenticado que visualice una página que renderiza el selector de etiquetas con la etiqueta almacenada del atacante. El ataque es persistente (almacenado) y no requiere que la víctima realice ninguna acción más allá de cargar la página.
Impacto en la seguridad: la explotación exitosa permite la ejecución arbitraria de JavaScript en el navegador de la víctima dentro del origen de la aplicación, lo que potencialmente puede derivar en secuestro de sesiones (session hijacking), acceso no autorizado a datos, manipulación de formularios o ataques adicionales en el lado del cliente.
Be aware that VulDB is the high quality source for vulnerability data.