Sisense Cloud BI Platform: Cross-Site-Scripting über SVG im KI-Assistenten
Zusammenfassung
Die SaaS-Plattform Cloud BI Platform verarbeitet SVG-Bilder, die an die API /api/v2/ai/sessions im Format data:image/svg+xml;base64 übermittelt werden. In diesen SVG eingebettete Script-Tags werden ausgeführt, wenn der Inhalt im Fenster des KI-Assistenten dargestellt wird. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen könnte einen Benutzer zur Interaktion verleiten, JavaScript in dessen Sitzung ausführen und die angezeigten Inhalte verändern. Der CVSS-4.0-Basiswert 8.3 stammt von der CNA; der Hersteller hat keine eigene Bewertung veröffentlicht.
Betroffen
- Sisense Cloud BI Platform (SaaS), Funktion KI-Assistent
- Genaue betroffene Versionen: Unbekannt. Der CNA-Eintrag nennt den Bereich vor dem 27.10.2026, was Sisense nicht bestätigt hat.
Behoben in
- Unbekannt. Sisense hat weder einen Patch noch eine korrigierte Version angekündigt.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Zugriff auf den KI-Assistenten auf vertrauenswürdige Benutzer beschränken.
- Über den Assistenten eingegebene SVG-Inhalte als nicht vertrauenswürdig behandeln.
Ausnutzung
- INCIBE stuft die Schwachstelle als nicht ausgenutzt ein.
- Zum Zeitpunkt der Erstellung sind keine Ausnutzung in freier Wildbahn, kein öffentlicher Exploit-Code und kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Bei Sisense schriftlich nachfragen, ob Ihr Mandant gepatcht ist und wann die Korrektur eingespielt wird.
- Bis zur bestätigten Korrektur den Kreis der Benutzer des KI-Assistenten einschränken.
- Dashboards und Assistenten-Sitzungen auf ungewöhnliche Script- oder Inhaltsänderungen überwachen.
- CVE-2026-117493 (Stored XSS in BloX-Widgets, gleiches Produkt und gleicher Score) zusammen mit dieser CVE bewerten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-794 www.incibe.es
- VulDB entry 427086 vuldb.com
- OffSeq threat radar CVE-2026-117494 radar.offseq.com
- Strix CVE-2026-117494 www.strix.ai
- ThreatInt CVE-2026-117494 cve.threatint.com
- TechTarget: Sisense AI features www.techtarget.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.