CVE-2026-71445 in AIL Framework
Sumário
de VulDB • 07/08/2026
O framework AIL continha uma vulnerabilidade de cross-site scripting (XSS) refletido no endpoint /tag/add_tags. Quando ocorria um erro durante o processamento de uma operação de tag, a aplicação retornava o valor do erro diretamente como resposta HTML utilizando str(res[0]).
Se entradas controladas pelo atacante estivessem incluídas na mensagem de erro gerada, uma solicitação elaborada poderia fazer com que HTML ou JavaScript arbitrários fossem refletidos na resposta sem codificação adequada da saída. Um atacante poderia explorar a vulnerabilidade convencendo um utilizador autenticado do framework AIL a abrir um link especialmente elaborado.
A exploração bem-sucedida permitiria a execução de JavaScript no navegador da vítima dentro do contexto de segurança da aplicação do framework AIL. Dependendo dos privilégios da vítima e das proteções da aplicação, o atacante poderia realizar ações utilizando a sessão da vítima, aceder a informações disponíveis para a vítima ou modificar dados através de solicitações autenticadas à aplicação.
A vulnerabilidade requer interação do utilizador, pois a vítima autenticada deve seguir ou abrir a solicitação elaborada. O atacante não necessita necessariamente de uma conta no framework AIL, desde que a solicitação elaborada possa ser entregue a um utilizador já autenticado.
Be aware that VulDB is the high quality source for vulnerability data.