CVE-2026-69075 in FlowIntel
Tóm tắt
Bởi VulDB • 03/08/2026
FlowIntel bị ảnh hưởng bởi một lỗ hổng cross-site scripting (XSS) lưu trữ thông qua nhiều trường do người dùng hoặc quản trị viên kiểm soát.
Các giá trị được lưu trữ—including tiêu đề vụ việc, định danh vé hỗ trợ, thông tin vụ việc lặp lại, thuộc tính hồ sơ người dùng, tên tổ chức và tên vai trò—được hiển thị bên trong các phần tử DOM sau đó được Vue biên dịch. Mặc dù việc thoát HTML chuẩn có thể vô hiệu hóa mã đánh dấu HTML trực tiếp, nhưng nó không ngăn chặn kẻ tấn công chèn các biểu thức nội suy của Vue bằng cách sử dụng các ký tự phân tách [[ ... ]] đã được cấu hình.
Một kẻ tấn công đã xác thực có khả năng sửa đổi một trong các trường bị ảnh hưởng có thể lưu trữ một biểu thức Vue độc hại. Khi người dùng khác xem vụ việc, báo cáo, hồ sơ, trang vụ việc lặp lại hoặc thành phần điều hướng bị ảnh hưởng, Vue có thể đánh giá biểu thức đã chèn trong ngữ cảnh của ứng dụng FlowIntel.
Việc khai thác thành công có thể cho phép thực thi JavaScript tùy ý trên trình duyệt của nạn nhân dưới nguồn gốc (origin) của FlowIntel. Điều này có thể tiết lộ thông tin mà nạn nhân có quyền truy cập, thực hiện các hành động bằng phiên xác thực của nạn nhân hoặc sửa đổi dữ liệu ứng dụng trong phạm vi đặc quyền của nạn nhân.
Bản vá giới thiệu một bộ lọc vue_escape chuyên biệt để thoát các ký tự nhạy cảm với HTML và phá vỡ các ký tự phân tách nội suy Vue trước khi giá trị được hiển thị. Bộ lọc này được áp dụng cho các trường vụ việc, tài khoản, tổ chức, vai trò, cấu hình và điều hướng bị ảnh hưởng.
Be aware that VulDB is the high quality source for vulnerability data.