mgtx2/cve-2026-79294Responsible-Disclosure-Advisory für CVE-2026-79294, eine gespeicherte XSS-Schwachstelle in der HTML-Artefakt-Vorschau von Moonshot AI Kimi über die öffentliche Share-Ansicht, die Sitzungstoken-Diebstahl und Account-Übernahme ermöglicht.
CVE-2026-79294 — Gespeichertes XSS in der HTML-Artefakt-Vorschau von Moonshot AI Kimi, ausgeliefert über die öffentliche Share-Ansicht, was zur Exfiltration von Sitzungstoken und nachgewiesener Kontoübernahme führt. Responsible-Disclosure-Advisory.
| Anbieter / Produkt | Moonshot AI — Kimi |
| Komponenten | Rendering der HTML-Artefakt-Vorschau; öffentliche Share-Ansicht |
| Schwäche | CWE-79 — Unsachgemäße Neutralisierung von Eingaben bei der Generierung von Webseiten |
Kimi rendert vom Modell generierte HTML-Artefakte in einem Vorschaubereich innerhalb des eigenen Origins der Anwendung, ohne Skripte zu neutralisieren. Wird eine Konversation geteilt, veröffentlicht dies das Artefakt unter einer öffentlichen Share-URL, sodass ein von einem Konto verfasstes Skript im Browser jedes Nutzers ausgeführt wird, der den Link öffnet.
Die Sitzungswerte, auf die Kimi sich stützt, liegen in localStorage und sind daher für
dieses Skript lesbar:
access_token
refresh_token
msh_user_id
Die Skriptausführung endet folglich nicht bei der Skriptausführung. Diese drei Werte können aus dem Browser eines Opfers ausgelesen, an einen beliebigen Ort gesendet und erneut eingespielt werden, um eine authentifizierte Sitzung als dieses Opfer zu erhalten.
Angreiferkonto → Artefakt mit Exfiltrationsskript → öffentliche Share
→ Opfer öffnet den Link → Skript läuft im Origin von Kimi
→ die drei localStorage-Werte erreichen den Angreifer
→ erneut eingespielt in einen sauberen Browser → authentifiziert als das Opfer
Ein Angreifer benötigt ein gewöhnliches Konto. Das Opfer muss lediglich einen Share-Link öffnen, während es angemeldet ist — genau dafür sind Share-Links da.
| Beobachtet | Wie |
|---|---|
| Skript wird im Browser des Opfers ausgeführt | Eine Anfrage erreichte den Endpunkt des Angreifers, ausgehend von der Sitzung des Opfers |
| Die drei Werte sind für Skripte lesbar | Alle drei waren im Body dieser Anfrage enthalten |
| Die Werte authentifizieren eigenständig | In einen Browser geschrieben, der sich nie bei Kimi angemeldet hatte; nach dem Neuladen hielt dieser Browser eine authentifizierte Sitzung |
| Die Werte sind die Ursache | Kontrolle: derselbe Browser, Werte weggelassen, Neuladen — blieb unauthentifiziert |
Beide beteiligten Konten wurden vom Forscher erstellt und kontrolliert. Zu keinem Zeitpunkt wurden Daten Dritter zugegriffen.
Die Kette ist oben vollständig dokumentiert. Der funktionierende Payload und der empfangende Endpunkt werden zurückgehalten — ihre Veröffentlichung würde den Angriff bewaffnen, statt ihn zu beschreiben.
Der Artefakt-Prompt hat die Form:
Generate an HTML page that reads the three localStorage values above
and POSTs them to <attacker endpoint>.