Misskey: Cross-Site Scripting in RSS-Feed-Item-Links
Zusammenfassung
Misskey, eine Open-Source-Plattform für föderierte soziale Medien, prüft das URL-Schema von Feed-Item-Links in den RSS-Widgets nicht. Ein Angreifer, der Feed-Inhalte kontrolliert, kann einen Link mit unsicherem Schema einschleusen, der beim Anklicken Skripte im Browser des Benutzers ausführt. Für die Ausnutzung ist eine Benutzerinteraktion nötig, und der betroffene Feed muss in einem RSS-Widget konfiguriert sein.
Betroffen
- Misskey ab 12.0.0 bis einschliesslich 13.14.2
- Misskey ab 2023.9.0-beta.1 vor 2026.7.0
Behoben in
- Misskey 2026.7.0 (behoben, indem die Feed-Links in den RSS-Widgets auf http oder https geprüft werden)
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung (CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial).
Unsere Empfehlung
- Misskey auf Version 2026.7.0 oder neuer aktualisieren.
- Falls Sie eine selbst gehostete Misskey-Instanz betreiben, prüfen Sie, ob RSS-Widgets verwendet werden, und kontrollieren Sie die konfigurierten Feeds.
- Benutzer darauf hinweisen, keine Links aus RSS-Widgets anzuklicken, solange die Instanz nicht aktualisiert wurde.
- Die Herstellerhinweise auf weitere Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-p73x-6qrq-34jc github.com
- Misskey release 2026.7.0 github.com
- Fix commit 8dd59a8c github.com
- Pull request #17831 github.com
- OSV entry CVE-2026-104816 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.