Vitess vttablet: Reflected Cross-Site Scripting im Debug-Endpunkt /twopcz

Zusammenfassung

Vitess, ein Datenbank-Clustering-System für die horizontale Skalierung von MySQL, maskiert die Formularwerte Action und dtid im Debug-Endpunkt /twopcz von vttablet und vtcombo nicht als HTML. Ein Angreifer kann eine präparierte Anfrage senden, die im Browser des Operators Skripte ausführt, sobald dieser sie öffnet. Das Skript läuft mit dem Debug-Origin und kann same-origin Diagnose-Endpunkte auslesen, die Abfragen, Transaktionen, Umgebungsvariablen oder Profiling-Daten offenlegen können. Die NVD stuft die Lücke mit CVSS 9.8 (kritisch) ein, der Angriff setzt jedoch voraus, dass ein Operator einen präparierten Link öffnet.

Betroffen

• Vitess vor 23.0.5
• Vitess 24.0.0 bis vor 24.0.2

Behoben in

• Aktualisierung auf 23.0.5
• Aktualisierung auf 24.0.2

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme über die Aktualisierung hinaus. Die Einschränkung des Netzwerkzugriffs auf die HTTP-Ports von vttablet und vtcombo reduziert die Exposition, behebt die Lücke aber nicht.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation none, automatisierbar ja, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Status im CISA-KEV-Katalog: unbekannt.

Unsere Empfehlung

• Alle Vitess-Installationen inklusive vttablet, vtcombo und vtgate sowie deren Versionen erfassen.
• Auf 23.0.5, 24.0.2 oder eine neuere Version aktualisieren. Den Status von 22.x-Installationen beim Hersteller klären.
• Die HTTP-Ports von vttablet und vtcombo auf Verwaltungsnetze beschränken.
• Operatoren anweisen, keine unbekannten Links zu öffnen, während sie in Verwaltungswerkzeugen angemeldet sind, und möglicherweise offengelegte Zugangsdaten rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v75v-6fpf-gvw8 github.com
• Fix commit 3140c1846cd120db34f33b2083139b4ab638aed2 github.com
• Pull request #20255 github.com
• Vitess release v23.0.5 github.com
• Vitess release v24.0.2 github.com
• GitLab advisory CVE-2026-104252 advisories.gitlab.com
• OSV GHSA-v75v-6fpf-gvw8 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:07.