Sisense Cloud BI Platform: Gespeicherte Cross-Site-Scripting-Schwachstelle in BloX-Widgets
Zusammenfassung
Die Sisense Cloud BI Platform, ein SaaS-Dienst für Business Intelligence, enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in ihren BloX-Widgets. Die Widget-API akzeptiert HTML und JavaScript in den Parametern 'desc' und 'text', und dieser Code wird im Browser jedes Benutzers ausgeführt, der das Widget anzeigt. Ein Angreifer mit einem Konto mit niedrigen Rechten könnte Script einschleusen, das Informationen in der Sitzung eines anderen Benutzers, zum Beispiel eines Administrators, offenlegt, sofern dieser mit dem Inhalt interagiert. Ein Herstellerfix ist nicht bestätigt.
Betroffen
- Sisense Cloud BI Platform (SaaS)
- Genaue betroffene Versionen: Unbekannt. Der CNA-Eintrag nennt den Bereich 0 bis vor 27/10/2026, was keine Versionsnummer ist.
Behoben in
- Unbekannt. INCIBE meldet, dass keine Lösung angekündigt wurde.
- Unverifizierte Drittquellen behaupten einen Fix am 27/10/2026. Diese widersprechen INCIBE und sind keine Aussagen des Herstellers.
Umgehung
- Dem Hersteller ist keine veröffentlichte Workaround-Massnahme bekannt.
- Allgemeine Massnahme: Einschränken, wer BloX-Widgets erstellen oder bearbeiten kann, und Dashboards auf unerwartete Script- oder HTML-Inhalte prüfen.
Ausnutzung
- INCIBE markiert die Ausnutzung mit 'Nein'.
- VulDB meldet keinen verfügbaren Exploit. OffSeq meldet keine bekannte Ausnutzung und keinen Eintrag im CISA KEV.
- Unbekannt, ob seit der Veröffentlichung eine Ausnutzung stattgefunden hat.
Unsere Empfehlung
- Bei Sisense nachfragen, ob Ihr Tenant betroffen ist und welcher Fix gilt.
- Die Konten einschränken, die BloX-Widgets erstellen oder bearbeiten können.
- Dashboards und Zugriffsprotokolle prüfen, falls Sie einen Missbrauch vermuten.
- Die Sisense-Kundenkanäle erneut prüfen, da der Status des Fixes unklar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-794 www.incibe.es
- VulDB entry 427084 vuldb.com
- Tenable CVE record CVE-2026-117493 www.tenable.com
- OffSeq threat radar entry radar.offseq.com
- Strix CVE entry CVE-2026-117493 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.