CVE-2026-100176

AIL Framework'ün kullanıcı adı zaman çizelgesi özelliği, depolanan siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Sohbetlerden içe aktarılan ve taranan forumlardan alınan kullanıcı adları, karakter kısıtlaması olmaksızın depolanmaktadır. Kimliği doğrulanmış bir analist kullanıcı adı zaman çizelgesini görüntülediğinde, uygulama bu depolanan kullanıcı adlarını araç ipucundaki D3 html() yöntemini kullanarak DOM'a işlemektedir. Kullanıcı adı değeri (d.obj), herhangi bir temizleme işlemi yapılmadan doğrudan bir HTML dizesine yerleştirildiği için, HTML olay yöneticileri içeren özel olarak hazırlanmış bir kullanıcı adı (örneğin, <img src=x onerror=alert(1)>), analist ilgili zaman çizelgesi girdisinin üzerine geldiğinde analistin tarayıcısında rastgele JavaScript kodu çalıştıracaktır. Saldırının gerçekleşmesi için kurbanın, zaman çizelgesi görünümüne erişimi olan kimliği doğrulanmış bir analist olması ve kötü amaçlı zaman çizelgesi girdisiyle etkileşime girmesi (üzerine gelmesi) gerekmektedir. Başarılı bir istismar; oturum çalma, veri sızdırma veya analistin kimliği doğrulanmış oturumu dahilinde yetkisiz işlemler gerçekleştirilmesine yol açabilir. Zafiyet, istemci tarafındaki var/www/static/js/d3/timeline_basic.js JavaScript dosyasında bulunmaktadır.