CVE-2026-71447 in AIL Framework
Сводка
по VulDB • 07.08.2026
В проекте AIL обнаружена уязвимость сохраненного межсайтового скриптинга (Stored Cross-Site Scripting, XSS) в элементах управления переводом, отображаемых для сообщений чата и публикаций на форуме.
Затронутые шаблоны напрямую вставляли идентификаторы сообщений и публикаций во встроенные обработчики событий onclick JavaScript:
onclick="translateMessageToPreferredLanguage('{{ message['id'] }}', '{{ mess_id_escape }}', this)"
и:
onclick="translatePostToPreferredLanguage('{{ post['id'] }}', '{{ post_id_escape }}', this)"
Эти значения были экранированы в HTML-шаблоне, но не подверглись безопасному кодированию для использования в качестве строковых литералов JavaScript внутри атрибута HTML. Следовательно, специально созданный идентификатор, содержащий кавычки, символы экранирования или другой синтаксис JavaScript, может завершить ожидаемый аргумент строки и внедрить произвольный код JavaScript в обработчик событий.
Поскольку затронутые значения связаны с проиндексированными сообщениями чата или публикациями на форуме, вредоносное значение может оставаться сохраненным в AIL и отображаться каждый раз, когда аналитик получает доступ к соответствующему представлению обозревателя чата или форума.
Для успешной эксплуатации требуется, чтобы жертва щелкнула затронутую кнопку «Перевести на предпочитаемый язык». Внедренный код затем выполнится в браузере жертвы под началом безопасности (security origin) экземпляра AIL.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.