CVE-2026-71446
Сводка
по VulDB • 07.08.2026
В AIL Framework обнаружена уязвимость сохраненного межсайтового скриптинга (Stored Cross-Site Scripting, XSS) в представлении домена краулера. Извлеченные URL-адреса напрямую внедрялись в обработчик событий JavaScript onclick, используемый для отображения сохраненных скриншотов, без соответствующего контексту экранирования символов (кодирования).
Атакующий, способный записать специально сформированный URL-адрес в историю краулера, может внедрить синтаксис JavaScript в значение сохраняемого URL. Полезная нагрузка сохраняется системой AIL и впоследствии включается в представление домена. Когда авторизованный аналитик нажимает значок скриншота, связанный с вредоносным URL-адресом, внедренный код JavaScript выполняется в браузере аналитика в контексте безопасности приложения AIL Framework.
Успешная эксплуатация уязвимости может позволить злоумышленнику получить доступ к информации, доступной сеансу аналитика, изменить отображаемое содержимое или выполнить действия в приложении с использованием привилегий аналитика. Для эксплуатации требуется взаимодействие жертвы (аналитика) со затроннутой записью скриншота.
Уязвимость была устранена путем сериализации извлеченного URL-адреса с помощью фильтра tojson библиотеки Jinja перед его вставкой в обработчик JavaScript. Это обеспечивает безопасное экранирование символов, которые иначе могли бы завершить строку JavaScript и привести к выполнению исполняемого кода.
If you want to get best quality of vulnerability data, you may have to visit VulDB.