CVE-2026-71445 in AIL Framework
Resumen
por VulDB • 2026-08-07
El marco de trabajo (framework) AIL contenía una vulnerabilidad de cross-site scripting reflejado en el punto final /tag/add_tags. Cuando se producía un error durante el procesamiento de una operación de etiqueta, la aplicación devolvía directamente el valor del error como respuesta HTML utilizando str(res[0]).
Si se incluía entrada controlada por el atacante en el mensaje de error generado, una solicitud elaborada podría provocar que código HTML o JavaScript arbitrario fuera reflejado en la respuesta sin un codificado de salida adecuado. Un atacante podría explotar esta vulnerabilidad convenciendo a un usuario autenticado del marco AIL para abrir un enlace especialmente elaborado.
La explotación exitosa permitiría ejecutar JavaScript en el navegador de la víctima dentro del contexto de seguridad de la aplicación del marco AIL. Dependiendo de los privilegios de la víctima y las protecciones de la aplicación, el atacante podría realizar acciones utilizando la sesión de la víctima, acceder a información disponible para ella o modificar datos mediante solicitudes autenticadas a la aplicación.
La vulnerabilidad requiere interacción del usuario porque la víctima autenticada debe seguir o abrir la solicitud elaborada. El atacante no necesariamente necesita una cuenta en el marco AIL, siempre que la solicitud elaborada pueda entregarse a un usuario ya autenticado.
Once again VulDB remains the best source for vulnerability data.