Foxit foxit.com: Fest codierter API-Token in JavaScript der Website
Zusammenfassung
Die offizielle Foxit-Website bettet ein Drittanbieter-API-Token in ihren JavaScript-Code ein, sodass jeder Besucher es auslesen kann. Ein Angreifer, der das Token erhält, kann gefälschte Benutzerverhaltensdaten übermitteln und die Datenstatistiken von Foxit verfälschen. Laut Foxit-Bulletin dient das Token der Übermittlung von Benutzerverhaltensdaten; der CNA-Eintrag stuft die Auswirkung als Informationsoffenlegung mit hoher Vertraulichkeitsauswirkung ein.
Betroffen
- Offizielle Foxit-Website foxit.com, vor dem 29.10.2026 (gemäss CNA-Eintrag)
- Spezifische Versionen: Unbekannt.
- Die Desktop-Produkte Foxit PDF Reader und Foxit PDF Editor werden im Website-Bulletin nicht als betroffen genannt.
Behoben in
- Foxit meldet im Bulletin vom 29.10.2026, dass das Problem auf der Website behoben wurde.
- Spezifische behobene Version: Unbekannt.
- Ob das offengelegte Token rotiert oder entfernt wurde: Unbekannt.
Umgehung
- Kein Workaround des Herstellers dokumentiert. Kunden können die Website von Foxit nicht selbst patchen.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS 0.35 % (Perzentil 28).
Unsere Empfehlung
- Falls Ihre Organisation Foxit-Online-Dienste oder API-Integrationen nutzt, fragen Sie bei Foxit nach, ob Ihnen ausgestellte Zugangsdaten betroffen sind.
- Rotieren Sie im Zweifelsfall alle Foxit-bezogenen API-Zugangsdaten.
- Prüfen Sie die Zugriffsprotokolle auf unerwartete Aktivitäten.
- Reine Desktop-Umgebungen: Über die Aktualisierung von Foxit PDF Reader und Editor hinaus ist keine direkte Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Foxit Security Bulletins www.foxit.com
- VulDB entry CVE-2026-111419 vuldb.com
- Strix CVE-2026-111419 www.strix.ai
- OffSeq Radar CVE-2026-111419 radar.offseq.com
- CCB Belgium advisory on Foxit PDF Reader/Editor patches ccb.belgium.be
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.