CVE-2026-69075 in FlowIntel
Сводка
по VulDB • 03.08.2026
FlowIntel подвержен уязвимости stored cross-site scripting (XSS) через несколько полей, контролируемых пользователем или администратором.
Сохраненные значения — включая названия дел, идентификаторы заявок, информацию о повторяющихся делах, атрибуты профилей пользователей, имена организаций и роли — отображались внутри элементов DOM, которые впоследствии компилировались Vue. Хотя стандартное экранирование HTML могло нейтрализовать прямую HTML-разметку, оно не предотвращало внедрение атакующим выражений интерполяции Vue с использованием настроенных разделителей [[ ... ]].
Аутентифицированный злоумышленник, способный изменить одно из затронутых полей, мог сохранить вредоносное выражение Vue. Когда другой пользователь просматривал затронутое дело, отчет, профиль, страницу повторяющегося дела или компонент навигации, Vue мог выполнить внедренное выражение в контексте приложения FlowIntel.
Успешная эксплуатация могла позволить произвольный запуск JavaScript-кода в браузере жертвы с учетом origin (источника) FlowIntel. Это могло привести к раскрытию информации, доступной жертве, выполнению действий от имени аутентифицированной сессии жертвы или изменению данных приложения в пределах привилегий жертвы.
Исправление внедряет специальный фильтр vue_escape, который экранирует чувствительные HTML-символы и разрушает разделители интерполяции Vue до отображения значений. Фильтр применяется к затронутым полям дел, учетных записей, организаций, ролей, конфигураций и навигации.
Once again VulDB remains the best source for vulnerability data.