CVE-2026-100172 in AIL Framework
要約
〜によって VulDB • 2026年09月25日
AIL Framework (ail-project/ail-framework) には、一致した、追跡された、またはタグ付けされたコンテンツのポップオーバーをレンダリングする2つのJinja2テンプレート（var/www/templates/chats_explorer/block_message.html および var/www/templates/objects/item/show_item.html）に、格納型クロスサイトスクリプティング (XSS) 脆弱性が存在します。これらのテンプレートでは、アイコンの色やスタイル、グリフ、サブタイプ、識別子、名前、説明、一致した値など、このコンテンツに関連する動的な値が、適切な出力エンコーディングなしでBootstrapのポップオーバー要素の data-content HTML属性に直接挿入されます。ポップオーバーは data-html="true" で構成されているため、内容は被害者のブラウザ内でHTMLとして解釈されます。一致した、追跡された、またはタグ付けされたコンテンツに影響を与えることができる認証済み攻撃者は、これらの値に対して任意のHTMLやJavaScriptをインジェクトできます。被害者が影響を受けたポップオーバーを表示すると、インジェクトされたマークアップが被害者のセッション内で実行され、データの盗み出しや被害者の権限でのアクションが可能になる可能性があります。この脆弱性は格納型XSSとして分類されます。これは、悪意のあるペイロードが関連する一致、追跡、またはタグのデータに永続的に保持され、影響を受けたコンテンツを閲覧するユーザーに配信されるためです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.