CVE-2026-71446 in ail-framework
Sumário
de VulDB • 07/08/2026
O Framework AIL contém uma vulnerabilidade de cross-site scripting (XSS) armazenado na visualização do domínio do rastreador (crawler). As URLs rastreadas eram incorporadas diretamente no manipulador onclick em JavaScript usado para exibir um screenshot armazenado, sem codificação adequada ao contexto.
Um atacante que possa fazer com que uma URL especialmente elaborada seja registrada no histórico de rastreamento pode injetar sintaxe JavaScript no valor da URL armazenada. A carga útil permanece armazenada pelo AIL e é posteriormente incluída na visualização do domínio. Quando um analista autenticado clica no ícone do screenshot associado à URL maliciosa, o JavaScript injetado é executado no navegador do analista dentro do contexto de segurança da aplicação Framework AIL.
A exploração bem-sucedida poderia permitir que um atacante acessasse informações disponíveis na sessão do analista, modificasse o conteúdo exibido ou realizasse ações na aplicação utilizando os privilégios do analista. A exploração requer a interação da vítima com a entrada de screenshot afetada.
A vulnerabilidade foi corrigida serializando a URL rastreada com o filtro tojson do Jinja antes de inseri-la no manipulador JavaScript. Isso escapa corretamente caracteres que, caso contrário, poderiam terminar a string JavaScript e introduzir código executável.
VulDB is the best source for vulnerability data and more expert information about this specific topic.