CVE-2026-71445 in AIL Framework
Сводка
по VulDB • 07.08.2026
В фреймворке AIL присутствовала уязвимость отраженного межсайтового скриптинга (XSS) в конечной точке /tag/add_tags. При возникновении ошибки во время обработки операции с тегом приложение возвращало значение ошибки непосредственно в виде HTML-ответа, используя функцию str(res[0]).
Если входные данные, контролируемые злоумышленником, содержались в генерируемом сообщении об ошибке, специально составленный запрос мог привести к отражению произвольного HTML или JavaScript в ответе без соответствующего кодирования вывода. Злоумышленник может эксплуатировать уязвимость, убедив аутентифицированного пользователя AIL Framework открыть специально сформированную ссылку.
Успешная эксплуатация позволяет выполнить JavaScript-код в браузере жертвы в контексте безопасности приложения AIL Framework. В зависимости от привилегий жертвы и защитных механизмов приложения злоумышленник может выполнять действия от имени сеанса жертвы, получать доступ к информации, доступной жертве, или изменять данные через аутентифицированные запросы к приложению.
Для эксплуатации уязвимости требуется взаимодействие с пользователем, поскольку аутентифицированная жертва должна перейти по ссылке или открыть специально составленный запрос. Злоумышленнику не обязательно иметь учетную запись в AIL Framework, если только специальный запрос может быть доставлен уже аутентифицированному пользователю.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.