CVE-2026-100190

AIL Framework crawler splash domen səhifəsi (showDomain.html) saxlanılan saytlararası skriptinq (XSS) zəifliyinə malikdir. İdxal edilmiş crawler tutmalarından gələn istifadəçi məlumatları — xüsusilə element ID-ləri, URL-lər və ekran görüntüsü fayl yolları — HTML şablonundakı daxili JavaScript kontekstlərinə birbaşa interpolasiya edilmişdir. Bura xam ekran görüntüsü və URL dəyərlərini JavaScript funksiya çağırışına yerləşdirən onclick atributu və ekran görüntüsü dəyərini escape etmədən JavaScript dəyişəninə təyin edən daxili skript bloku daxildir. İstifadəçi rolu olan API kliyenti ilə hücumçu bu sahələrdə JavaScript payload-ları olan zərərli crawler tutma idxalı hazırlaya bilər. Hər hansı bir istifadəçi (o cümlədən imtiyazlı istifadəçilər) daha sonra təsirə məruz qalmış domen səhifəsinə baxdıqda, injeksiya edilmiş skript qurbanın brauzer kontekstində icra olunacaqdır ki, bu da sessiyanın ələ keçirilməsinə, məlumatların sızdırılmasına və ya qurban adına icazəsiz hərəkətlərin edilməsinə şərait yarada bilər. Zəiflik tətbiqin məlumat qatında saxlanılır və səhifə render olunduqda tetiklənir, domen görünüşünün yüklənməsindən başqa heç bir əlavə qarşılıqlı əlaqə tələb etmir.