Revive Adserver: Gespeicherte Cross-Site-Scripting-Schwachstelle in Berichts-Datumsauswahl
Zusammenfassung
Revive Adserver, ein Open-Source-Werbeserver, enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in den Steuerelementen zur Datumsauswahl von Berichten. Ein Angreifer kann einen manipulierten period_preset-Wert in der Sitzung eines Opfers speichern, der danach ohne ausreichende Kodierung in JavaScript eingefügt wird. Der Angreifer muss ein Opfer dazu bringen, einen manipulierten Berichtslink zu öffnen und sich erneut anzumelden; das Skript wird anschliessend bei der Berichtsansicht und bei späteren Ansichten mit den gespeicherten Standardwerten ausgeführt.
Betroffen
- Revive Adserver 6.0.8 und früher (0 bis 6.0.8)
Behoben in
- Revive Adserver 6.0.9 (gemäss CVE-Beschreibung; Sicherheitshinweis des Herstellers noch nicht bestätigt)
Umgehung
- Kein Workaround des Herstellers gefunden.
- Den Zugriff auf die Revive-Administrations- und Berichtsoberfläche auf vertrauenswürdige Benutzer beschränken.
- Revive-Berichtslinks aus nicht vertrauenswürdigen Quellen bis zum Patch nicht öffnen.
Ausnutzung
- Unbekannt. Kein öffentlicher Proof of Concept gefunden.
- Keine bekannte Ausnutzung; laut einem Drittanbieter-Index nicht im CISA KEV (nicht direkt geprüft).
Unsere Empfehlung
- Revive Adserver im nächsten Wartungsfenster auf 6.0.9 oder neuer aktualisieren, nachdem die Fixversion im Sicherheitshinweis des Herstellers bestätigt wurde.
- Alle Revive-Installationen gleichzeitig prüfen, da 6.0.9 mehrere verwandte XSS-Probleme zu beheben scheint.
- Administratoren bis zur Aktualisierung warnen, Berichtslinks aus nicht vertrauenswürdigen Quellen nicht zu öffnen.
- Prüfen, ob die Administrationsoberfläche aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-108561 www.cve.org
- HackerOne report 4116433 hackerone.com
- OffSeq Radar: CVE-2026-108561 radar.offseq.com
- Revive SA-2021-002 (related earlier period_preset issue) www.revive-adserver.com
- Wikipedia: Revive Adserver en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.