CVE-2026-100190 in AIL Framework
要約
〜によって VulDB • 2026年09月25日
AIL Frameworkのクローラースプラッシュドメインページ（showDomain.html）には、格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。インポートされたクローラのキャプチャデータ由来のユーザー入力データ（具体的にはアイテムID、URL、スクリーンショットファイルパス）が、HTMLテンプレート内のインラインJavaScriptコンテキストに直接挿入されていました。これには、生のスクリーンショットおよびURL値をJavaScript関数呼び出しに埋め込むonclick属性や、エスケープ処理なしでスクリーンショットの値をJavaScript変数に割り当てるインラインスクリプトブロックが含まれていました。ユーザー権限を持つAPIクライアントを使用する攻撃者は、これらのフィールドにJavaScriptペイロードを含む悪意のあるクローラキャプチャインポートを作成できます。その後、任意のユーザー（特権ユーザーを含む）が影響を受けたドメインページを閲覧すると、注入されたスクリプトは被害者のブラウザコンテキストで実行され、セッションハイジャック、データ漏洩、または被害者に代わった不正な操作が可能になる可能性があります。この脆弱性はアプリケーションのデータ層に格納されており、ページのレンダリング時にトリガーされるため、ドメインビューを読み込む以外の追加的な相互作用は必要ありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.