EdgeEver: Gespeichertes Cross-Site-Scripting in der Memo-Drag-Vorschau

Zusammenfassung

EdgeEver bis einschliesslich Version 1.112.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in der Funktion setMemoDragPreview. Ein Angreifer, der Notizbuchnamen oder Memo-Titel setzen kann, zum Beispiel über die MCP-Werkzeuge create_notebook, rename_notebook oder create_memo, kann Skripte einschleusen, die beim Ziehen des betroffenen Elements auf dem Opfer-System ausgeführt werden. Das Skript kann auf das Session-Token der Desktop-Bridge zugreifen.

Betroffen

• EdgeEver 0.1.0 bis einschliesslich 1.112.0 (gemäss CVE-Eintrag und VulnCheck)
• Widersprüchliche Angaben: OSV führt 1.112.0 zusätzlich in einem separaten Bereich als behoben; ungeklärt
• Versionen 2.x sind weder als betroffen noch als nicht betroffen bestätigt

Behoben in

Unbekannt. Es wurde keine Herstellermitteilung mit einer bestätigten korrigierten Version gefunden. Ein Patch-Commit wird im CVE-Eintrag referenziert, sein Inhalt konnte jedoch nicht überprüft werden.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Einschränken, wer Notizbücher und Memos erstellen oder umbenennen kann, einschliesslich MCP-Token.
• Notizbuch- und Memo-Titel aus unsicherer Quelle als feindselig behandeln.
• Instanz nur bei Bedarf aus dem Internet erreichbar machen.

Ausnutzung

• Nicht als ausgenutzt bekannt; nicht im CISA-KEV-Katalog.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung PoC, nicht automatisierbar.
• Erfordert einen authentifizierten Benutzer oder MCP-Token sowie eine Benutzerinteraktion (Ziehen des Elements).

Unsere Empfehlung

• Feststellen, ob EdgeEver im Einsatz ist (Docker, Cloudflare oder Desktop-App) und welche Version läuft.
• Den Hersteller über die GitHub-Issues #534 oder #546 um Bestätigung der korrigierten Version bitten.
• Auf eine bestätigte korrigierte Version aktualisieren oder bis dahin den Zugriff einschränken.
• Konten und MCP-Token, die Notizbuch- oder Memo-Namen schreiben können, einschränken.
• Auf unerwartete Änderungen an Notizbuch- und Memo-Titeln achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• EdgeEver project repository github.com
• VulnCheck advisory www.vulncheck.com
• Vulnerable source file app-helpers.ts github.com
• Patch commit 6b5027e github.com
• GitHub issue #534 github.com
• GitHub issue #546 github.com
• VulDB entry 417284 vuldb.com
• OSV record CVE-2026-109557 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:36.