CVE-2026-100190
Açıklama
AIL Framework crawler splash alan adı sayfası (showDomain.html), depolanan siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. İçe aktarılan crawler yakalamalarından gelen kullanıcı tarafından sağlanan veriler —özellikle öğe kimlikleri (item ID), URL'ler ve ekran görüntüsü dosya yolları— HTML şablonundaki satır içi JavaScript bağlamlarına doğrudan eklenmiştir. Bu durum, ham ekran görüntüsü ve URL değerlerini bir JavaScript fonksiyon çağrısına gömen bir onclick özniteliğini ve bir ekran görüntüsü değerini kaçış karakterleri kullanmadan bir JavaScript değişkenine atayan satır içi bir betik bloğunu içermektedir. Kullanıcı rolüne sahip bir API istemcisine sahip saldırgan, bu alanlarda JavaScript yükleri içeren kötü amaçlı bir crawler yakalama içe aktarma işlemi oluşturabilir. Herhangi bir kullanıcı (ayrıcalıklı kullanıcılar dahil) etkilenen alan adı sayfasını görüntülediğinde, enjekte edilen betik kurbanın tarayıcı bağlamında çalışacak ve potansiyel olarak oturum çalma, veri sızdırma veya kurban adına yetkisiz işlemler yapılmasına izin verecektir. Zafiyet uygulamanın veri katmanında depolanmakta ve sayfa işleme sırasında tetiklenmekte olup, alan adı görünümünün yüklenmesi dışında herhangi bir etkileşim gerektirmemektedir.
Nasıl düzeltilir
- ail project ail framework7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ail project ail framework | v < 7.1 | 7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.