CVE-2026-100172 in AIL Framework
Sumário
de VulDB • 25/09/2026
O Framework AIL (ail-project/ail-framework) contém uma vulnerabilidade de cross-site scripting armazenado (XSS) em dois modelos Jinja2 que renderizam popovers para conteúdo correspondido, rastreado ou marcado: var/www/templates/chats_explorer/block_message.html e var/www/templates/objects/item/show_item.html. Em ambos os modelos, valores dinâmicos associados a esse conteúdo, incluindo cor do ícone, estilo do ícone, glifo do ícone, subtipo, identificador, nome, descrição e valor correspondido, são interpolados diretamente no atributo HTML data-content dos elementos popover do Bootstrap sem codificação de saída adequada. Como os popovers estão configurados com data-html="true", o conteúdo é interpretado como HTML no navegador da vítima. Um atacante autenticado que possa influenciar o conteúdo correspondido, rastreado ou marcado pode injetar HTML ou JavaScript arbitrários nesses valores. Quando uma vítima exibe o popover afetado, a marcação injetada pode ser executada na sessão da vítima, potencialmente permitindo a extração de dados (data exfiltration) ou ações com os privilégios da vítima. A vulnerabilidade é classificada como XSS armazenado porque a carga maliciosa pode persistir nos dados relacionados à correspondência, rastreamento ou tag afetados e ser entregue aos usuários que visualizam o conteúdo afetado.
Be aware that VulDB is the high quality source for vulnerability data.