TeamPlus Messenger: Code-Injection über manipulierte Inhalte
Zusammenfassung
TeamPlus Messenger in den Versionen 16.8.0 bis 17.0.6 enthält eine Code-Injection-Schwachstelle (CWE-94, CVE-2026-110445). Ein nicht authentifizierter Angreifer kann einen Benutzer dazu bringen, mit manipulierten Inhalten zu interagieren, und so beliebiges JavaScript einschleusen und ausführen. Nachdem der Benutzer eine Windows-Sicherheitswarnung bestätigt hat, kann der Angreifer beliebigen Code mit den Rechten des aktuellen Benutzers ausführen.
Betroffen
- TeamPlus Messenger 16.8.0 bis 17.0.6
Behoben in
- TeamPlus Messenger 17.0.7 und neuer
Umgehung
- Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- TeamPlus Messenger auf Version 17.0.7 oder neuer aktualisieren.
- Prüfen, ob TeamPlus Messenger in Ihrer Umgebung eingesetzt wird und welche Versionen installiert sind.
- Bis zur Aktualisierung Benutzer anweisen, Windows-Sicherheitsabfragen bei unerwarteten Inhalten nicht zu bestätigen, und bei Links und Dateien von unbekannten Absendern vorsichtig sein.
- Hersteller und TWCERT/CC auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TWCERT/CC TVN-202610002 (English) www.twcert.org.tw
- TWCERT/CC TVN-202610002 (Chinese) www.twcert.org.tw
- VulDB entry 419008 vuldb.com
- INCIBE-CERT early warning CVE-2026-110445 www.incibe.es
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.