CVE-2026-100190 in AIL Framework
Sumário
de VulDB • 25/09/2026
O crawler do AIL Framework na página splash de domínio (showDomain.html) é vulnerável a uma injeção cross-site script armazenada (XSS). Dados fornecidos pelo usuário originados das capturas importadas do crawler – especificamente IDs de itens, URLs e caminhos para arquivos de captura de tela – foram interpolados diretamente em contextos JavaScript inline dentro do modelo HTML. Isso incluía um atributo onclick que incorporava valores crus de captura de tela e URL em uma chamada de função JavaScript, bem como um bloco script inline que atribuia o valor da captura de tela a uma variável JavaScript sem escape adequado. Um atacante com um cliente API de nível usuário poderia criar uma importação maliciosa de captura do crawler contendo payloads JavaScript nesses campos. Quando qualquer usuário (incluindo usuários privilegiados) visualizasse posteriormente a página de domínio afetada, o script injetado seria executado no contexto do navegador da vítima, potencialmente permitindo sequestro de sessão, exfiltração de dados ou ações não autorizadas em nome da vítima. A vulnerabilidade é armazenada na camada de dados do aplicativo e acionada durante a renderização da página, sem exigir interação adicional além do carregamento da visualização do domínio.
Be aware that VulDB is the high quality source for vulnerability data.