CVE-2026-41200

STIG Manager, Bilgi Sistemlerinin Güvenlik Teknik Uygulama Kılavuzları (STIG) değerlendirmelerini yönetmek için kullanılan bir API ve web istemcisidir. 1.5.10 ile 1.6.7 arasındaki sürümlerde, `src/init.js` ve `public/reauth.html` dosyalarındaki OIDC kimlik doğrulama hata işleme kodunda yansıtılmış siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. OIDC yönlendirme akışı sırasında, OIDC sağlayıcısı tarafından döndürülen `error` ve `error_description` sorgu parametreleri, HTML kaçış karakterleri uygulanmadan doğrudan `innerHTML` aracılığıyla DOM'a yazılmaktadır. Kötü niyetli bir yönlendirme URL'si oluşturabilen ve bir kullanıcıyı bunu takip etmeye ikna edebilen bir saldırgan, uygulamanın köken bağlamında rastgele JavaScript çalıştırabilir. Zafiyet, hedef kullanıcının başka bir tarayıcı sekmesinde aktif bir STIG Manager oturumu açık olduğunda en şiddetli halini alır; enjekte edilen kod aynı kökende çalışır ve aktif erişim belirtecini yöneten SharedWorker ile iletişim kurarak, koleksiyon verilerini okuma ve değiştirme dahil olmak üzere mağdur adına kimliği doğrulanmış API istekleri yapılmasına olanak tanır. Zafiyet 1.6.8 sürümünde giderilmiştir. Güncelleme dışında bir geçici çözüm bulunmamaktadır. Sorgu parametrelerindeki yansıtılmış XSS yüklerini filtreleyen bir web uygulama güvenlik duvarı arkasındaki dağıtımlar kısmi hafifletme sağlayabilir ancak bu, yamalamanın yerini tutmaz.