JTL-Shop: Gespeichertes Cross-Site-Scripting in der Consent-Statistik
Zusammenfassung
Der öffentliche Consent-Endpunkt von JTL-Shop speichert beliebige Consent-Bezeichnungen, ohne diese gegen die konfigurierten Consent-Einträge zu prüfen. Die Bezeichnungen werden in der Consent-Statistik im Backend ohne Maskierung angezeigt. Ein nicht angemeldeter Angreifer kann Skriptcode einschleusen, der im Browser eines Administrators ausgeführt wird, der diese Seite öffnet, und Aktionen mit dessen Rechten ermöglicht.
Betroffen
- JTL-Shop 5.4.0 bis vor 5.6.5
- JTL-Shop 5.7.0 bis vor 5.7.5
- JTL-Shop 5.8.0 bis vor 5.8.2
- Versionen vor 5.4.0: Unbekannt.
- Bei JTL gehostete Shops: laut Hersteller nicht betroffen.
Behoben in
- Shop 5.6.5 (Linie 5.6)
- Shop 5.7.5 (Linie 5.7)
- Shop 5.8.2 (Linie 5.8)
- Versionen 5.4.x und 5.5.x: keine Patches; manuelle Patch-Dateien nur für nicht mehr unterstützte Versionen, Upgrade auf 5.6.5 oder neuer wird empfohlen.
Umgehung
- Die Consent-Statistik im Backend nicht öffnen, bis das Update eingespielt ist.
- Die Consent-Statistik auf Einträge prüfen, die keinem konfigurierten Consent-Eintrag entsprechen, und verdächtige Einträge löschen. Der selbst gesetzte Eintrag "accepted_all" kann ignoriert werden.
- Den Zugriff auf das Backend nach Möglichkeit einschränken.
- Hinweis: Das Update entfernt bereits eingeschleuste Einträge nicht.
Ausnutzung
- Bis 14. Oktober 2026 keine Hinweise auf eine Ausnutzung in der Praxis.
- Kein öffentlicher Proof of Concept bekannt (VulDB: kein Exploit verfügbar).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Ein Administrator mit dem Recht zur Ansicht der Statistik muss die betroffene Seite öffnen.
Unsere Empfehlung
- JTL-Shop auf 5.6.5, 5.7.5 oder 5.8.2 je nach installierter Linie aktualisieren oder von 5.4.x/5.5.x upgraden.
- Die Consent-Statistik auf eingeschleuste Einträge prüfen und diese entfernen.
- Prüfen, ob der Shop aus dem Internet erreichbar und nicht bei JTL gehostet ist.
- CVE-2026-103905 und weitere JTL-Shop-Schwachstellen aus derselben Veröffentlichung gleichzeitig beheben.
- Bei JTL nachfragen, ob eine frühere Version diese Schwachstelle bereits teilweise behoben hat, da ein Forenbeitrag auf denselben Hinweis verweist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JTL-Software Sicherheitshinweis www.jtl-software.com
- VulDB CVE-2026-103904 vuldb.com
- Strix CVE-2026-103904 www.strix.ai
- JTL Guide: Statistik Consent-Manager guide.jtl-software.com
- JTL Forum: JTL-Shop 5.7.5 Release forum.jtl-software.de
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.