یک آسیب‌پذیری امنیتی با شناسه CVE-2026-89191 در ویژگی Workflow Template نرم‌افزار SQLView KRIS کشف شده است که سطح شدت آن Medium ارزیابی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی ناشی از عدم پاک‌سازی (Sanitisation) ورودی‌ها در فیلد “template name” است. زمانی که این ورودی بدون بررسی‌های لازم در سمت سرور، در ویژگی‌های onclick در داشبورد اصلی رندر می‌شود، امکان تزریق کدهای مخرب فراهم می‌گردد.
تحلیل ریسک و تاثیر
- نوع حمله: این یک مورد Stored XSS (تزریق کد ذخیره‌شده) است.
- پیش‌نیاز: عامل تهدید باید دسترسی سطح مدیر (Administrative Access) داشته باشد تا بتواند اسکریپت‌های مخرب را تزریق و ذخیره کند.
- تاثیر: پس از ذخیره کد، هر کاربری که از داشبورد اصلی بازدید کند، اسکریپت مخرب در مرورگر او اجرا خواهد شد که می‌تواند منجر به سرقت نشست‌ها (Session Hijacking) یا دسترسی غیرمجاز به داده‌های کاربر شود.
