CVE-2026-71447 in AIL Framework
Resumen
por VulDB • 2026-08-07
El proyecto AIL presenta una vulnerabilidad de cross-site scripting (XSS) almacenado en los controles de traducción mostrados para mensajes de chat y publicaciones del foro.
Las plantillas afectadas insertaban identificadores de mensaje y publicación directamente dentro de controladores onclick inline:
onclick="translateMessageToPreferredLanguage('{{ message['id'] }}', '{{ mess_id_escape }}', this)"
y:
onclick="translatePostToPreferredLanguage('{{ post['id'] }}', '{{ post_id_escape }}', this)"
Estos valores estaban escapados mediante plantillas HTML, pero no se codificaban de forma segura para su uso como literales de cadena JavaScript dentro de un atributo HTML. Por lo tanto, un identificador especialmente manipulado que contenga comillas, caracteres de escape u otra sintaxis de JavaScript podría terminar el argumento de la cadena esperada e inyectar código JavaScript arbitrario en el controlador de eventos.
Dado que los valores afectados están asociados con mensajes de chat indexados o publicaciones del foro, un valor malicioso puede permanecer almacenado por AIL y renderizarse cada vez que un analista accede a la vista correspondiente del explorador de chats o foros.
La explotación exitosa requiere que la víctima haga clic en el botón afectado "Translate to preferred language". El código inyectado se ejecutaría entonces en el navegador de la víctima bajo el origen de seguridad de la instancia AIL.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.