Revive Adserver: Reflektiertes Cross-Site Scripting in Popup-Aufrufoptionen
Zusammenfassung
Revive Adserver 6.0.8 und früher enthält ein reflektiertes Cross-Site Scripting (XSS) in den Popup-Aufrufoptionen. Die Request-Parameter top, left, timeout und delay werden ohne Encoding in HTML-Attribute eingefügt. Ein Angreifer kann einen angemeldeten Benutzer dazu bringen, eine präparierte URL zu öffnen, und so JavaScript in dessen Browser ausführen. Voraussetzung ist eine bestehende Popup-Zone, die über die normale Zonen-Erstellung nicht angeboten wird.
Betroffen
- Revive Adserver 6.0.8 und früher (gemäss CNA-Eintrag; ältere Versionen sind durch den Bereich 0 bis <= 6.0.8 abgedeckt)
Behoben in
- Revive Adserver 6.0.9 (HTML-kodiert die betroffenen Popup-Optionswerte)
- Herstellerhinweis zum Zeitpunkt der Erstellung nicht bestätigt; revive-adserver.com/security/ und die Release Notes zu 6.0.9 prüfen
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden. Das Upgrade auf 6.0.9 ist die Behebung.
- Zugriff auf das Admin-Interface auf vertrauenswürdige Netze oder VPN beschränken.
- Administratoren bitten, während der Anmeldung im Admin-Interface keine unbekannten Links zu öffnen.
- Popup-Zonen auf Einträge prüfen, die niemand im Team erstellt hat.
Ausnutzung
- Bekannte Ausnutzung: keine gefunden (OffSeq: nicht als ausgenutzt bekannt).
- Öffentlicher Proof-of-Concept: in den geprüften Verzeichnissen keiner gefunden; das ist kein Beweis für das Fehlen.
- VulDB markiert den Eintrag als 0-Day und stuft die Ausnutzung als einfach ein; dies ist die Einschätzung von VulDB und durch Exploit-Belege nicht bestätigt.
Unsere Empfehlung
- Mittlere Priorität. Upgrade auf Revive Adserver 6.0.9 im regulären Patch-Zyklus durchführen; vorziehen, wenn das Admin-Interface aus dem Internet erreichbar ist, Administratoren in derselben Sitzung im Web surfen oder Popup-Zonen verwendet werden.
- Prüfen, ob Popup-Zonen existieren, die niemand im Team erstellt hat.
- Das Upgrade auf 6.0.9 behebt auch die verwandten Probleme 2026 CVE-2026-108558, -108559, -108560, -108562, -108563 und -108564.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HackerOne report hackerone.com
- VulDB entry vuldb.com
- Strix AI CVE page www.strix.ai
- OffSeq Radar threat entry radar.offseq.com
- ThreatInt CVE record cve.threatint.com
- HackerOne report 3473696 (Revive security advisory reference) hackerone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.