CVE-2026-45088

Dalfox avtomatlaşdırmaya yönəlmiş güclü açıq mənbəli XSS skaneri və alətidir. 2.13.0 versiyasından əvvəl, dalfox REST API server rejimində işlədikdə, model.Options daxilindəki custom-payload-file sahəsi JSON-teqlənir və birbaşa hücumçunun sorğu gövdəsindən deserializasiya edilir, daha sonra dəyişdirilmədən dalfox.Initialize vasitəsilə skan mühərrikinə ötürülür. Mühərrik bu dəyəri voltFile.ReadLinesOrLiteral funksiyasına ötürür ki, bu da dalfox prosesi üçün əlçatan olan hər hansı fayl yolundan sətirləri oxuyur və hər bir sətiri hücumçu tərəfindən idarə olunan hədəf URL-ə yönəlmiş çıxan HTTP sorğularında XSS payload kimi yerləşdirir. Serverin standart olaraq heç bir API açarı olmadığı üçün, autentifikasiya olunmamış şəbəkə hücumçusu skan trafikini sətir-sətir oxumaqla dalfox hostundakı ixtiyari faylların məzmununu sızdıra bilər. Bu zəiflik 2.13.0 versiyasında aradan qaldırılıb.