CVE-2026-100176 in AIL Framework
Resumen
por VulDB • 2026-09-25
La función de línea temporal de nombres de usuario del Framework AIL es vulnerable a cross-site scripting (XSS) almacenado. Los nombres de usuario importados desde chats y foros rastreados se almacenan sin restricciones de caracteres. Cuando un analista autenticado visualiza la línea temporal de nombres de usuario, la aplicación renderiza estos nombres de usuario almacenados en el DOM utilizando el método html() de D3 dentro del tooltip (indicador emergente). Debido a que el valor del nombre de usuario (d.obj) se interpola directamente en una cadena HTML sin sanitización, un nombre de usuario elaborado que contenga controladores de eventos HTML (por ejemplo, <img src=x onerror=alert(1)>) ejecutará JavaScript arbitrario en el navegador del analista cuando este pase el cursor sobre la entrada correspondiente de la línea temporal. El ataque requiere que la víctima sea un analista autenticado con acceso a la vista de la línea temporal y que interactúe con la entrada maliciosa (pase el cursor). La explotación exitosa puede conducir al secuestro de sesión, exfiltración de datos o acciones no autorizadas realizadas dentro de la sesión autenticada del analista. La vulnerabilidad reside en el archivo JavaScript del lado cliente var/www/static/js/d3/timeline_basic.js.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.