CVE-2026-100172

AIL Framework (ail-project/ail-framework), uyğunlaşdırılmış, izlənilən və ya etiketlənmiş məzmun üçün popover-ləri render edən iki Jinja2 şablonunda — var/www/templates/chats_explorer/block_message.html və var/www/templates/objects/item/show_item.html — saxlanılan saytlararası skriptinq (XSS) boşluğu ehtiva edir. Hər iki şablonda bu məzmunla əlaqəli dinamik dəyərlər (ikon rəngi, ikon stili, ikon glifi, alt tip, identifikator, ad, təsvir və uyğunlaşdırılmış dəyər daxil olmaqla) müvafiq çıxış kodlaması olmadan birbaşa Bootstrap popover elementlərinin data-content HTML atributuna yerləşdirilir. Popover-lər data-html="true" şəklində konfiqurasiya edildiyi üçün məzmun qurbanın brauzerində HTML kimi şərh olunur. Uyğunlaşdırılmış, izlənilən və ya etiketlənmiş məzmuna təsir göstərə bilən autentifikasiya olunmuş hücumçu bu dəyərlərə ixtiyari HTML və ya JavaScript inyeksiya edə bilər. Qurban təsirlənmiş popover-i görüntülədiyi zaman, inyeksiya edilmiş markerlər qurbanın sessiyasında icra oluna bilər ki, bu da potensial olaraq məlumatların sızdırılmasına və ya qurbanın imtiyazları ilə hərəkətlərin yerinə yetirilməsinə imkan verir. Zərərli yük təsirlənmiş uyğunluq, izləmə və ya etiketlə bağlı məlumatlarda qala bildiyi və həmin məzmunu görən istifadəçilərə çatdırıldığı üçün bu boşluq saxlanılan XSS kimi təsnif edilir.