یک آسیب‌پذیری از نوع Cross-Site Scripting (XSS) در موتور رندرینگ سمت کاربر (Client-side Rendering Engine) پلتفرم چت هوش مصنوعی 1millionbot شناسایی شده است که با شناسه CVE-2026-91921 ثبت گردید.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی ناشی از عدم پاک‌سازی مناسب ورودی‌ها (Inadequate Input Sanitisation) است. یک کاربر راه دور و احراز هویت نشده (Unauthenticated) می‌تواند با ارسال پیام‌هایی حاوی سینتکس Markdown و بلوک‌های محتوایی خاص که به درستی فیلتر نشده‌اند، باعث رندر شدن هایپرلینک‌های خارجی در رابط کاربری وب شود.
تحلیل اثرات و ریسک
- دامنه اثرگذاری: تأثیر این آسیب‌پذیری تنها محدود به نشست‌های تعاملی (Interactive Session) خود کاربر است.
- محدودیت‌ها: طبق گزارش‌های فنی، این نقص منجر به نفوذ به زیرساخت‌های داخلی، دسترسی به داده‌های شخص ثالث یا تأثیر بر پنل مدیریتی (Administrative Panel) نمی‌شود.
به مدیران امنیت توصیه می‌شود در صورت استفاده از این پلتفرم، به‌روزرسانی‌های مربوط به موتور رندرینگ را به سرعت اعمال نمایند تا از اجرای کدهای مخرب در مرورگر کاربران جلوگیری شود.
