CVE-2026-45088

Dalfox, otomasyona odaklanmış güçlü bir açık kaynaklı XSS tarayıcısı ve aracıdır. 2.13.0 sürümünden önce, dalfox REST API sunucu modunda çalıştırıldığında, model.Options içindeki custom-payload-file alanı JSON etiketlidir ve doğrudan saldırganın istek gövdesinden serileştirilerek dalfox.Initialize üzerinden tarama motoruna değiştirilmeden aktarılır. Motor, bu değeri voltFile.ReadLinesOrLiteral fonksiyonuna iletir; bu fonksiyon dalfox sürecinin erişebildiği herhangi bir dosya yolundan satırları okur ve her satırı, saldırgan tarafından kontrol edilen hedef URL'ye yönlendirilen giden HTTP isteklerine bir XSS yükü olarak ekler. Sunucunun varsayılan olarak bir API anahtarı bulunmadığından, kimliği doğrulanmamış bir ağ saldırganı, tarama trafiği aracılığıyla dosyaları satır satır okuyarak dalfox ana bilgisayarındaki rastgele dosyaların içeriğini sızdırabilir. Bu güvenlik açığı 2.13.0 sürümünde giderilmiştir.