CVE-2026-100187

Moduł Onion w AIL Framework zawierał skrót wydajnościowy w swojej logice wyodrębniania adresów URL, który akceptował adresy URL jako prawidłowe cele .onion wyłącznie na podstawie sprawdzenia długości (dokładnie 69 znaków) i sprawdzenia sufiksu (kończącego się na „.onion”), bez wykonywania prawidłowego analizowania nazwy hosta lub sprawdzania poprawności domeny cebulowej. Nieuwierzytelniony atakujący, który mógłby publikować lub kontrolować zawartość internetową przeszukiwaną przez platformę, mógłby osadzić spreparowany adres URL zawierający adres IP lub nazwę hosta inną niż cebulowa ze ścieżką kończącą się na „.onion” spełniającą warunki dotyczące długości i sufiksu. Taki adres URL zostałby wyodrębniony, jego domena naiwnie wycięta z ciągu i umieszczona w kolejce jako uzasadnione zadanie robota cebulowego. Umożliwiło to nieuwierzytelnionym wydawcom treści umieszczanie dowolnych celów innych niż cebulowe w kolejce zadań przeszukiwacza, wpływając na jego zachowanie i potencjalnie kierując go w stronę niezamierzonych zasobów sieciowych. Luka nie wymagała żadnego uwierzytelniania, żadnej interakcji z użytkownikiem, a jedynie możliwości umieszczenia spreparowanej treści w lokalizacji, którą platforma mogłaby przeszukać. Wpływ na bezpieczeństwo polega na utracie integralności wyboru celów przez robota: struktura przetwarza adresy URL i działa na nich, które nie odpowiadają legalnym usługom .onion.