CVE-2026-100172

AIL Framework (ail-project/ail-framework), eşleşen, izlenen veya etiketlenen içerikler için popover'lar oluşturan iki Jinja2 şablonunda (`var/www/templates/chats_explorer/block_message.html` ve `var/www/templates/objects/item/show_item.html`) saklı siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Her iki şablonda da simge rengi, simge stili, simge glifi, alt tür, tanımlayıcı, ad, açıklama ve eşleşen değer dahil olmak üzere bu içerikle ilişkili dinamik değerler, uygun çıktı kodlaması yapılmadan doğrudan Bootstrap popover öğelerinin `data-content` HTML özniteliğine yerleştirilmektedir. Popover'lar `data-html="true"` şeklinde yapılandırıldığı için içerik, mağdurun tarayıcısında HTML olarak yorumlanmaktadır. Eşleşen, izlenen veya etiketlenen içeriği etkileyebilen kimliği doğrulanmış bir saldırgan, bu değerlere rastgele HTML veya JavaScript enjekte edebilir. Mağdur etkilenen popover'ı görüntülediğinde, enjekte edilen işaretleme mağdurun oturumunda çalışabilir ve potansiyel olarak veri sızdırılmasına veya mağdurun yetkileriyle işlem yapılmasına olanak tanıyabilir. Kötü amaçlı yük, etkilenen eşleşme, izleme veya etiketle ilgili verilerde kalıcı olabildiği ve etkilenen içeriği görüntüleyen kullanıcılara iletilebildiği için zafiyet, saklı XSS olarak sınıflandırılmıştır.