CVE-2026-82881

ŚrednieCVSS 5.4

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 02/09/2026(UTC)Przetłumaczono: 31/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Aix-DB do wersji 1.2.4 renderuje markdown z włączonym surowym HTML w powiązaniach v-html bez sanityzacji, co umożliwia ataki typu stored cross-site scripting. Atakujący mogą wstrzykiwać złośliwy HTML i JavaScript przez treść markdown w odpowiedziach czatu, opisach umiejętności lub wiadomościach wiedzy, które wykonują się w przeglądarkach użytkowników podczas przeglądania.

Ocena ryzyka

Ataki XSS mogą prowadzić do kradzieży sesji użytkowników, przejęcia kont, a także do rozprzestrzeniania złośliwego oprogramowania. Może to naruszyć poufność i integralność danych oraz zaufanie do systemu.

Rekomendacja

Zaleca się zaktualizowanie Aix-DB do wersji, która zawiera poprawkę usuwającą podatność. Należy również wdrożyć mechanizmy sanityzacji treści markdown i unikać używania v-html z niezaufanymi danymi.

Inne podatności w Aix-DB

CVE-2026-8335Wysokie
Brak weryfikacji uwierzytelnienia na końcówce Aix-DB '/llm/process_llm_out' pozwala nieautoryzowanym klientom na wykonywanie dowolnych zapytań SQL 'SELECT' i pobieranie danych z bazy danych. Końcówka ta nie posiada walidacji tokenów, która jest wymagana na wszystkich innych końcówkach aplikacji.

Oryginalny opis (angielski, źródło NVD)

Aix-DB through 1.2.4 renders markdown with raw HTML enabled into v-html bindings without sanitization, allowing stored cross-site scripting attacks. Attackers can inject malicious HTML and JavaScript through markdown content in chat responses, skill descriptions, or knowledge messages that execute in users' browsers when viewed.