AsiaInfo BSS Platform: Gespeichertes Cross-Site Scripting über SVG-Upload

Zusammenfassung

AsiaInfo BSS Platform 9.2 vor 9.2.38 erlaubt einem authentifizierten Benutzer mit gewöhnlichen Applikationsrechten, eine SVG-Datei mit eingebettetem JavaScript als Menü-Icon hochzuladen. Die Datei wird über die eigene Applikationsdomäne ausgeliefert. Öffnet ein Opfer die gespeicherte Datei direkt oder über object oder iframe, läuft das Skript in der Applikationsdomäne und kann Session-Tokens stehlen oder Aktionen im Namen des Opfers ausführen, auch im Namen von Administratoren. Die normale Menüdarstellung über ein img-Element führt das Skript nicht aus.

Betroffen

• AsiaInfo BSS Platform 9.2.0 vor 9.2.38
• Komponenten aether-menu bis 2.2.4 und react-app bis 2.3.10

Behoben in

• AsiaInfo BSS Platform 9.2.38 oder neuer (aether-menu 2.2.5, react-app 2.3.11)

Umgehung

• Vom Hersteller nicht bekannt.
• Bis zum Patch den SVG-Upload für Menü-Icons entfernen oder Uploads auf Rasterformate beschränken.
• Hochgeladene Dateien von einer separaten Domäne mit Content-Disposition: attachment und einer restriktiven Content-Security-Policy ausliefern.
• Bestehende Uploads auf SVG-Dateien prüfen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Das Advisory eines Drittanbieters enthält einen Proof of Concept. VulDB stuft die Ausnutzung als einfach und aus der Ferne möglich ein, mit erforderlicher Benutzerinteraktion.
• Voraussetzung sind ein authentifiziertes Konto und ein Opfer, das die gespeicherte SVG-Datei direkt öffnet.

Unsere Empfehlung

• Prüfen, ob eine Instanz von AsiaInfo BSS Platform im Einsatz ist, zum Beispiel bei einem Telekomanbieter, MVNO oder Integrator. Die meisten KMU sind nicht betroffen.
• Installierte Version prüfen und auf 9.2.38 oder neuer aktualisieren.
• Die Recherchenotizen erwähnen ein separates kritisches Problem, das in 9.2.41 behoben ist. Dies ist nicht verifiziert, daher den Herstellerkanal auf die neueste Version prüfen.
• Bestehende Menü-Icon-Uploads auf SVG-Dateien prüfen und die Upload-Erlaubnisliste einschränken.
• Prüfen, ob die Administrationskonsole aus dem Internet erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-122095 www.cve.org
• Third-party advisory (researcher repository) github.com
• VulDB entry 435973 vuldb.com
• Researcher repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:21.