Dassault Systèmes Tuleap Enterprise Edition: Gespeichertes Cross-Site-Scripting
Zusammenfassung
Eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Tuleap Enterprise Edition von 17.0 bis 17.5 erlaubt es einem Angreifer, Skriptcode einzuschleusen, der im Browser-Sitzung von Benutzern ausgeführt wird, die den betroffenen Inhalt anzeigen. Der Angreifer benötigt ein Konto auf der Plattform, und ein Benutzer muss mit den bösartigen Inhalten interagieren. Der CNA bewertet die Schwachstelle mit CVSS 8.7 (hoch) bei geändertem Scope, eine Drittquelle nennt jedoch einen deutlich tieferen Wert von 3.5, weshalb der Schweregrad umstritten ist.
Betroffen
- Tuleap Enterprise Edition 17.0 bis 17.5 gemäss Herstellerhinweis.
- Die maschinenlesbaren CNA-Daten nennen 17.0-1 bis 17.0-41 und 17.5-1 bis 17.5-32; die genauen betroffenen Builds zwischen 17.1 und 17.4 sind unklar.
Behoben in
Unbekannt. Ein Sekundäraggregator nennt ein Upgrade auf Version 17.6 oder neuer, dies ist jedoch nicht bestätigt und muss mit dem Herstellerhinweis abgeglichen werden.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Bis zur Behebung die Anzahl der Personen einschränken, die Inhalte erstellen oder einreichen können, die andere Benutzer anzeigen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept in der Recherche gefunden.
- EPSS 0.00203 (sehr tiefe prognostizierte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob eine Tuleap Enterprise Edition 17.0 oder 17.5 (inklusive dazwischenliegender Builds) im Einsatz ist und ob sie aus dem Internet oder von externen Partnern erreichbar ist.
- Den Herstellerhinweis der 3DS öffnen, den korrigierten Build bestätigen und das Herstellerupdate für exponierte Instanzen prioritär einspielen.
- Bis zur Behebung einschränken, wer Inhalte veröffentlichen kann, die andere Benutzer anzeigen, und den NVD-Eintrag sowie den Herstellerhinweis auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- 3DS vendor advisory listing www.3ds.com
- CNA record mirror (Vulners) vulners.com
- OpenCVE CVE record app.opencve.io
- Strix CVE record (CNA ranges and CVSS) www.strix.ai
- VulDB score conflict vuldb.com
- HOL exploitation status hol.org
- Vulners EPSS vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:00.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.