CVE-2026-71447

AIL Project, sohbet mesajları ve forum gönderileri için görüntülenen çeviri kontrollerinde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Etkilenen şablonlar, mesaj ve gönderi tanımlayıcılarını doğrudan satır içi JavaScript onclick işleyicilerine eklemektedir: onclick="translateMessageToPreferredLanguage('{{ message['id'] }}', '{{ mess_id_escape }}', this)" ve: onclick="translatePostToPreferredLanguage('{{ post['id'] }}', '{{ post_id_escape }}', this)" Bu değerler HTML-şablon düzeyinde kaçış karakterine tabi tutulmuş ancak bir HTML özniteliği içinde JavaScript dize sabitleri olarak kullanılmak üzere güvenli şekilde kodlanmamıştır. Bu nedenle; tırnak işaretleri, kaçış karakterleri veya diğer JavaScript sözdizimlerini içeren özel olarak hazırlanmış bir tanımlayıcı, beklenen dize argümanını sonlandırabilir ve olay işleyiciye rastgele JavaScript kodu enjekte edebilir. Etkilenen değerler indekslenmiş sohbet mesajları veya forum gönderileri ile ilişkili olduğundan, kötü niyetli bir değer AIL tarafından saklanmaya devam edebilir ve bir analist ilgili sohbet veya forum gezgini görünümüne eriştiğinde yeniden oluşturulabilir. Başarılı bir istismar, kurbanın etkilenen "Translate to preferred language" butonuna tıklamasını gerektirir. Enjekte edilen kod daha sonra kurbanın tarayıcısında, AIL örneğinin güvenlik kökeni altında çalıştırılır.