CVE-2026-100174
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Komponent selektora tagów AIL Framework (var/www/static/js/tags.js) jest podatny na ataki przechowywanych skryptów między witrynami (XSS). Użytkownik mający możliwość utworzenia niestandardowego tagu może osadzić ładunek HTML zawierający procedury obsługi zdarzeń JavaScript (np. <img src=x onerror=alert(1)> lub <svg onload=...>) w nazwie tagu. Kiedy inny uwierzytelniony użytkownik otworzył stronę zawierającą selektor tagów, nazwa szkodliwego tagu została wstawiona do DOM przy użyciu właściwości html jQuery, powodując wykonanie osadzonego skryptu w kontekście przeglądarki ofiary.
Podatne ścieżki kodu miały wpływ zarówno na renderowanie sugestii/elementów kombi (_renderComboItems), jak i logikę renderowania wybranych tagów. W obu przypadkach wartość wyświetlana pochodząca z pola displayField znacznika została przekazana bezpośrednio do właściwości HTML konstruktora elementów jQuery, który analizuje i wstawia ciąg znaków w postaci surowego kodu HTML, a nie tekstu.
Warunki wstępne: osoba atakująca musi posiadać uwierzytelnione konto z uprawnieniami do tworzenia niestandardowych tagów, a ofiara musi być uwierzytelnionym użytkownikiem, który przegląda stronę wyświetlającą selektor tagów z zapisanym tagiem atakującego. Atak jest przechowywany (trwały) i nie wymaga od ofiary wykonania żadnej akcji poza załadowaniem strony.
Wpływ na bezpieczeństwo: pomyślne wykorzystanie umożliwia dowolne wykonanie kodu JavaScript w przeglądarce ofiary w obrębie źródła aplikacji, co może prowadzić do przejęcia sesji, nieautoryzowanego dostępu do danych, manipulacji formularzami lub dalszych ataków po stronie klienta.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org