CVE-2026-37196 – Gespeichertes Cross-Site Scripting (XSS) in nirix traq v3.9.0

Übersicht

In nirix traq v3.9.0 besteht eine Schwachstelle für gespeichertes Cross-Site Scripting (XSS), bei der benutzergesteuerte Eingaben im Ticket-Beschreibungsfeld vor der Darstellung in der Anwendungsoberfläche nicht ordnungsgemäß bereinigt werden.

Diese Schwachstelle ermöglicht es einem authentifizierten Angreifer, bösartige JavaScript-Payloads in eine Ticketbeschreibung einzuschleusen. Der Payload wird von der Anwendung gespeichert und ausgeführt, wenn ein anderer Benutzer, einschließlich privilegierter Benutzer wie Administratoren, die betroffene Ticket-Timeline oder die Rendering-Komponente anzeigt.

• CVE-ID: CVE-2026-37196
• Schwachstellentyp: Stored Cross-Site Scripting (CWE-79)
• Hersteller: nirix
• Produkt: traq
• Betroffene Version: 3.9.0
• Angriffsart: Remote
• Schweregrad: Hoch
• Entdecker: Pavan V

Zusammenfassung der Schwachstelle

Das Problem tritt auf, weil benutzergesteuerte HTML-/JavaScript-Eingaben ohne ordnungsgemäße Ausgabekodierung oder Bereinigung gerendert werden.

Ein authentifizierter Angreifer kann ein Ticket erstellen oder ändern und einen bösartigen Payload in das Beschreibungsfeld einfügen. Wenn ein anderer Benutzer das betroffene Ticket anzeigt, wird das injizierte Skript im Browserkontext des Opfers ausgeführt.

Dies kann zu Folgendem führen:

• Beliebige JavaScript-Ausführung
• Session-Hijacking
• Unautorisierte Aktionen im Namen der Opfer
• Diebstahl sensibler Informationen
• Privilegienerweiterung in bestimmten Szenarien

Betroffene Komponente

Ticket-Beschreibungsfeld / Timeline-Rendering-Komponente

Die Schwachstelle wird ausgelöst, wenn Ticketbeschreibungen, die bösartiges HTML oder JavaScript enthalten, ohne ausreichende Maskierung in der Anwendungsoberfläche gerendert werden.

Proof of Concept (PoC)

Beispiel-Payload

Reproduktionsschritte

1. Melden Sie sich bei einer traq-v3.9.0-Instanz mit einem gültigen Benutzerkonto an.
2. Navigieren Sie zur Funktion zum Erstellen von Tickets.
3. Erstellen Sie ein neues Ticket.
4. Fügen Sie einen bösartigen Payload in das Beschreibungsfeld ein.

Beispiel:

5. Speichern Sie das Ticket.
6. Öffnen oder zeigen Sie das Ticket von einem anderen Benutzerkonto oder einem privilegierten Konto aus.
7. Beobachten Sie, dass der JavaScript-Payload automatisch ausgeführt wird, wenn die Beschreibung gerendert wird.

Sicherheitsauswirkungen

Eine erfolgreiche Ausnutzung kann es Angreifern ermöglichen:

• Beliebigen JavaScript-Code im Browser des Opfers auszuführen
• Auf authentifizierte Sitzungsinformationen zuzugreifen
• Aktionen als betroffener Benutzer durchzuführen
• Ticketinhalte zu manipulieren
• Möglicherweise Administratoren für Privilegienmissbrauch ins Visier zu nehmen

Ursache

Die Anwendung bereinigt oder kodiert benutzergesteuerte Eingaben vor dem Rendern von Ticketbeschreibungen im Browser nicht ordnungsgemäß.

Benutzereingaben werden gespeichert und später ohne ausreichenden Schutz gegen HTML-/JavaScript-Injektion gerendert.

Gegenmaßnahmen

Die folgenden Gegenmaßnahmen werden empfohlen:

• Bereinigen Sie benutzergesteuerte HTML-Inhalte ordnungsgemäß
• Wenden Sie kontextbezogene Ausgabekodierung an
• Verwenden Sie einen auf einer Zulassungsliste basierenden HTML-Sanitizer
• Setzen Sie eine strenge Content Security Policy (CSP) ein
• Vermeiden Sie das Rendern von rohem HTML aus benutzergesteuerten Eingaben

Zeitplan

Haftungsausschluss

Dieses Repository wird ausschließlich für Sicherheitsforschung und defensive Aufklärungszwecke veröffentlicht. Die bereitgestellten Informationen sollen Entwicklern und Verteidigern helfen, das Problem zu verstehen und zu beheben.

Danksagungen

Entdeckt von: Pavan V