Unblu Spark: Cross-Site-Scripting in eingebettetem Co-Browsing
Zusammenfassung
Unblu Spark, sowohl on-premises als auch in der Cloud, enthält eine Cross-Site-Scripting-Schwachstelle im eingebetteten Co-Browsing. Ein entfernter Angreifer in der Rolle des Besuchers kann HTML-Inhalte einschleusen, die im Browser des Agenten dargestellt werden, sodass JavaScript in der Sitzung des Agenten im Agent Desk oder im Single Conversation Desk ausgeführt wird. Voraussetzung ist, dass ein Agent einer vom Angreifer gestarteten Co-Browsing-Sitzung beitritt; Mobile Co-Apping ist nicht betroffen.
Betroffen
- Unblu Spark 7.0 bis 7.57.7
- Unblu Spark 8.0 bis 8.39.2 (ausser den unten aufgeführten gepatchten Hotfix-Linien)
- On-premises- und Cloud-Bereitstellungen gemäss CVE-Eintrag; Unblu Cloud ist bereits behoben
Behoben in
- Unblu Spark 8.39.3 oder neuer (gemäss CNA-Eintrag)
- Unblu Spark 8.35.2-hotfix.0, 8.37.2-hotfix.2, 8.38.2-hotfix.0 und neuere Hotfixes dieser Linien
- Unblu Spark 7.57.9 oder neuer (nur von einer Sekundärquelle gemeldet, beim Hersteller zu verifizieren)
- Unblu Cloud: Korrektur bereits ausgerollt
Umgehung
- On-premises, falls ein Upgrade nicht sofort möglich ist: Eingebettetes Co-Browsing deaktivieren, indem com.unblu.messenger.embeddedCoBrowsingEnabled auf false gesetzt wird (gemäss Herstellerhinweis, wie in den Recherchenotizen zitiert; gegen UBL-2026-004 prüfen)
- Unblu-Cloud-Kunden müssen nichts unternehmen
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt; keine bekannte aktive Ausnutzung
- Kein öffentlicher Proof-of-Concept bestätigt
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Prüfen, ob eine On-premises-Instanz von Unblu Spark im Einsatz ist und welcher Build läuft
- Bulletin UBL-2026-004 direkt beim Hersteller beziehen und die gepatchten Builds bestätigen
- On-premises-Instanzen auf einen gepatchten Build aktualisieren; bei verzögertem Upgrade den Workaround anwenden
- Die Behebung von CVE-2026-9589 (kritische Autorisierungsumgehung) im selben Zeitfenster planen
- KEV und Herstellerupdates überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Unblu security bulletin UBL-2026-004 docs.unblu.com
- CNA record via Vulners vulners.com
- VulDB entry 422774 vuldb.com
- OpenCVE CVE-2026-14933 app.opencve.io
- HOL Guard CVE-2026-14933 hol.org
- Strix CVE-2026-14933 www.strix.ai
- TheHackerWire CVE-2026-14933 www.thehackerwire.com
- Unblu Spark product page www.unblu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.