Apache Roller: Gespeichertes Cross-Site-Scripting in der Weblog-Beschreibung
Zusammenfassung
Apache Roller 6.1.2 bis 6.1.6 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in der Weblog-Beschreibung. Ein Weblog-Administrator kann ein Skript speichern, das in den Browsern der Mitglieder des Weblogs ausgeführt wird, wenn diese das Hauptmenü öffnen. Die HTML-Bereinigung liess einen nicht geschlossenen Tag durch, und das Hauptmenü gab die Beschreibung ohne Escaping aus.
Betroffen
- Apache Roller 6.1.2 bis 6.1.6
- Standardkonfiguration: unbekannt
Behoben in
- Apache Roller 6.1.7 oder neuer
Umgehung
- Keine Workaround-Massnahme dokumentiert.
- Weblog-Administratorrechte bis zum Abschluss des Upgrades auf vertrauenswürdige Mitarbeitende beschränken.
Ausnutzung
- Keine bekannte Ausnutzung.
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Prüfen, ob Apache Roller eingesetzt wird und welche Versionen laufen.
- Auf Apache Roller 6.1.7 oder neuer aktualisieren.
- Weblog-Administratorkonten auf vertrauenswürdige Mitarbeitende beschränken und bestehende Konten überprüfen.
- Die Behebung anhand der Apache-Advisory verifizieren, da der Umgang mit bereits gespeicherten fehlerhaften Beschreibungen unbekannt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-118414 www.cve.org
- Apache Roller pull request #228 github.com
- Apache mailing list thread lists.apache.org
- VulDB entry 435626 vuldb.com
- OffSeq Radar CVE-2026-118414 radar.offseq.com
- Strix CVE-2026-118414 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.