WriteFreely: Gespeicherte Cross-Site-Scripting-Lücke über Post-Slug
Zusammenfassung
WriteFreely vor 0.17.3 erlaubt es einem authentifizierten Autor, über die CreatePost-API einen manipulierten Post-Slug zu speichern. Bei Posts mit Paid-Shortcode wird der rohe Slug unmaskiert in einen Link eingefügt, sodass Skripte ausgeführt werden können, wenn Leser den Post in RSS/Atom-Feed-Readern, Newslettern oder ActivityPub-Clients anzeigen. Ein Angriff setzt ein Autorenkonto und ein Opfer voraus, das den betroffenen Inhalt öffnet.
Betroffen
- WriteFreely-Versionen 0.x vor 0.17.3 (verwundbarer Code in v0.17.2)
Behoben in
- Auf WriteFreely 0.17.3 oder neuer aktualisieren
Umgehung
Unbekannt.
Ausnutzung
- Kein öffentlicher Proof of Concept bekannt.
- Laut Sekundärquellen nicht in freier Wildbahn ausgenutzt; nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle WriteFreely-Instanzen prioritär auf 0.17.3 oder neuer aktualisieren, da dieselbe Version auch eine kritischere Authentifizierungsumgehung behebt.
- Nach dem Update die Datenbankmigration (writefreely db migrate) ausführen und prüfen, ob der Dienst startet, da bei einigen Installationsarten manuelle Schritte nötig waren; API-Benutzer werden abgemeldet.
- Autorenkonten bis zur Aktualisierung auf vertrauenswürdige Benutzer beschränken.
- Bestehende Posts auf ungewöhnliche Slugs oder Links prüfen, insbesondere Posts mit Paid-Shortcode.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-126498 www.cve.org
- VulnCheck advisory www.vulncheck.com
- WriteFreely 0.17.3 release notes github.com
- Fix commit d7231d8 github.com
- GitHub security advisory GHSA-cwxm-8ch5-j2vh github.com
- Vulnerable code postrender.go v0.17.2 github.com
- OffSeq threat radar radar.offseq.com
- NixOS nixpkgs backport PR github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:04.
Referenzen der NVD (6)
- https://github.com/writefreely/writefreely/blob/v0.17.2/database.go#L702-L705
- https://github.com/writefreely/writefreely/blob/v0.17.2/postrender.go#L117-L121
- https://github.com/writefreely/writefreely/commit/d7231d81a914f1314a218d5e8fde6e0341391ccd
- https://github.com/writefreely/writefreely/releases/tag/v0.17.3
- https://github.com/writefreely/writefreely/security/advisories/GHSA-cwxm-8ch5-j2vh
- https://www.vulncheck.com/advisories/writefreely-before-0.17.3-stored-xss-via-unsanitized-post-slug
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.