MQTTX: Gespeichertes Cross-Site Scripting in Tooltips von Topic Tree und JSON-Baum

Zusammenfassung

MQTTX Desktop, ein Open-Source-MQTT-Client von EMQ, zeigt MQTT-Topic-Namen und Nutzdaten ungefiltert in Tooltips des Topic Tree und des JSON-Baums an. Ein Angreifer, der einen Broker kontrolliert oder in ein abonniertes Topic publizieren kann, kann Skripte einschleusen, die im Electron-Renderer mit aktivierter Node-Integration ausgeführt werden. Das Skript läuft, wenn ein Benutzer mit der Maus über einen betroffenen Knoten fährt. Daher ist eine Benutzerinteraktion nötig, und der Angreifer kann die Rechte des Benutzers auf dem Arbeitsplatz erlangen.

Betroffen

• MQTTX Desktop 0 bis 1.13.3 (gemäss CVE-Eintrag)

Behoben in

Unbekannt. Kein Herstellerhinweis nennt eine korrigierte Version für CVE-2026-126495. Die Versionshinweise zu v1.13.1 führen eine Korrektur beim Escaping der Darstellung von MQTT-Topics und Nutzdaten auf, die Quellen bestätigen jedoch nicht, dass sie die Tooltip-Pfade abdeckt.

Umgehung

• MQTTX nur mit vertrauenswürdigen Brokern verwenden
• Einschränken, wer in Topics publizieren kann, die Ihr Team abonniert
• Mit der Maus nicht über Baumknoten aus unbekannten Quellen fahren
• Gespeicherte Sitzungen und Daten löschen, die nicht mehr benötigt werden

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Exploit-Code bestätigt
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Alle Installationen von MQTTX Desktop und CLI erfassen und deren Versionen notieren
• Auf die neueste Version aktualisieren und die Versionshinweise des Herstellers oder das GitHub-Issue prüfen, ob die Tooltip-Pfade korrigiert sind
• Bis eine Korrektur bestätigt ist, Abonnements auf vertrauenswürdige Broker und Topics beschränken; MQTTX nicht auf Arbeitsplätzen verwenden, die Broker-Zugangsdaten für kritische Systeme enthalten
• Das GitHub-Issue von EMQ und die Versionshinweise auf einen eigenen Sicherheitshinweis überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• CVE record CVE-2026-126495 www.cve.org
• EMQ GitHub issue 2180 github.com
• MQTTX GitHub repository github.com
• MQTTX releases github.com
• MQTTX v1.13.1 release github.com
• MQTTX changelog v1.13.1 mqttx.app
• VulDB CVE-2026-126495 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:14.