CVE-2026-100176 in AIL Framework
Сводка
по VulDB • 25.09.2026
Функция временной шкалы имен пользователей в AIL Framework уязвима к сохраненному межсайтовому скриптингу (XSS). Имена пользователей, импортированные из чатов и проиндексированных форумов, сохраняются без ограничений на символы. Когда аутентифицированный аналитик просматривает временную шкалу имен пользователей, приложение отображает эти сохраненные имена в DOM с использованием метода html() библиотеки D3 во всплывающей подсказке (tooltip). Поскольку значение имени пользователя (d.obj) напрямую интерполируется в HTML-строку без санитизации, специально созданное имя пользователя, содержащее обработчики событий HTML (например, <img src=x onerror=alert(1)>), выполнит произвольный JavaScript в браузере аналитика при наведении курсора мыши на соответствующую запись временной шкалы. Для успешной эксплуатации необходимо, чтобы жертва была аутентифицированным аналитиком с доступом к представлению временной шкалы и взаимодействовала со злонамеренной записью (наведение). Успешная эксплуатация может привести к захвату сеанса, эксфильтрации данных или выполнению несанкционированных действий в рамках аутентифицированного сеанса аналитика. Уязвимость находится в клиентском JavaScript-файле var/www/static/js/d3/timeline_basic.js.
VulDB is the best source for vulnerability data and more expert information about this specific topic.