Twine 2 Desktop: Cross-Site Scripting über importierte Story-Dateien
Zusammenfassung
Twine 2 Desktop bis und mit Version 2.12.0 verarbeitet importierte Story-Dateien nicht sicher. Markup in einer importierten Story-Datei wird im Editor-Fenster ausgeführt, und ein präpariertes Skript kann die interne Bridge der Anwendung aufrufen, um eine .bat-Datei zu schreiben und zu öffnen. Ein Angreifer kann so Code mit den Rechten des Benutzers ausführen, der die Datei importiert und öffnet, weshalb eine Benutzerinteraktion erforderlich ist.
Betroffen
- klembot Twine 2 Desktop (twinejs) Versionen 0 bis und mit 2.12.0
Behoben in
- Unbekannt. Es wurde keine bestätigte korrigierte Version gefunden. Die Releases-Seite des Herstellers prüfen.
Umgehung
- Keine vom Hersteller bestätigte Massnahme.
- Story-Dateien nicht aus unvertrauenswürdigen Quellen importieren (E-Mail, Foren, Chat, USB).
Ausnutzung
- Die CISA-SSVC-Bewertung im CVE-Eintrag nennt den Exploitation-Status 'poc' (Proof of Concept) und 'Automatable: no'.
- In den geprüften Quellen wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Twine-Installationen auf Arbeitsstationen inventarisieren.
- Twine entfernen, wo es nicht benötigt wird, und andernorts mit einem Standardbenutzerkonto betreiben.
- Story-Dateien nur aus vertrauenswürdigen Quellen importieren.
- Auf eine korrigierte Version aktualisieren, sobald der Hersteller eine bestätigt.
- Das upstream Issue und die Releases-Seite auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Upstream issue #1706 github.com
- Fix commit 8e8a2bef github.com
- Fix commit 3a9af28c github.com
- Vulnerable code: import.ts (2.12.0) github.com
- Vulnerable code: scratch-file.ts (2.12.0) github.com
- OSV entry CVE-2026-105220 osv.dev
- Upstream pull request #1715 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:31.
Referenzen der NVD (8)
- https://github.com/klembot/twinejs
- https://github.com/klembot/twinejs/blob/2.12.0/src/electron/main-process/scratch-file.ts#L57-L63
- https://github.com/klembot/twinejs/blob/2.12.0/src/util/import.ts#L134-L136
- https://github.com/klembot/twinejs/commit/3a9af28cabe9684730beb8b578132cad9bb5bc60
- https://github.com/klembot/twinejs/commit/8e8a2bef5b1e20c58b99d22a2a4d8d867fb421cb
- https://github.com/klembot/twinejs/issues/1706
- https://www.vulncheck.com/advisories/twine-2-desktop-through-2.12.0-arbitrary-code-execution-via-imported-sto…
- https://github.com/klembot/twinejs/issues/1706
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.