CVE-2026-71447

AIL Project-də çat mesajları və forum yazıları üçün göstərilən tərcümə idarəetmə vasitələrində saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Təsirə məruz qalan şablonlar mesaj və yazı identifikatorlarını birbaşa inline JavaScript onclick idarəedicilərinə daxil etmişdir: onclick="translateMessageToPreferredLanguage('{{ message['id'] }}', '{{ mess_id_escape }}', this)" və: onclick="translatePostToPreferredLanguage('{{ post['id'] }}', '{{ post_id_escape }}', this)" Bu dəyərlər HTML-şablonu ilə escape edilmişdir, lakin HTML atributu daxilində JavaScript sətir literalları kimi istifadə üçün təhlükəsiz şəkildə kodlaşdırılmamışdır. Buna görə də, dırnaq işarələri, escape simvolları və ya digər JavaScript sintaksisini ehtiva edən xüsusi hazırlanmış identifikator gözlənilən sətir arqumentini sonlandıra və hadisə idarəedicisinə ixtiyari JavaScript kodu yerləşdirə bilərdi. Təsirə məruz qalan dəyərlər indekslənmiş çat mesajları və ya forum yazıları ilə əlaqəli olduğu üçün, zərərli dəyər AIL tərəfindən saxlanıla bilər və analitik müvafiq çat və ya forum explorer görünüşünə daxil olduqda render edilə bilər. Uğurlu istismara qurbanın təsirə məruz qalan "Translate to preferred language" düyməsini sıxması tələb olunur. Yerləşdirilmiş kod daha sonra qurbanın brauzerində AIL instansiyasının təhlükəsizlik mənşəyi altında icra olunacaqdı.