Countly countly-server: Gespeichertes XSS im Feedback-Upload ermöglicht Sitzungsübernahme
Zusammenfassung
countly-server, der serverseitige Teil der Produktanalyse-Plattform Countly, enthält im Feedback-Upload des Star-Rating-Plugins eine gespeicherte Cross-Site-Scripting-Schwachstelle. Ein authentifizierter Application-Administrator kann aktive Inhalte hochladen, die mit einem vom Angreifer beeinflussten Content-Type ausgeliefert werden. Öffnet ein globaler Administrator die Vorschau, läuft die Schadfunktion im Countly-Ursprung und kann auf authentifizierte Sitzungswerte wie auth_token und csrf_token zugreifen. Für einen Angriff sind ein böswilliges Application-Administrator-Konto und ein globaler Administrator, der die Vorschau öffnet, erforderlich.
Betroffen
- countly-server vor 24.05.50
- countly-server der Linie 25.03 vor 25.03.44
- Ob das Star-Rating-Plugin standardmässig aktiviert ist: Unbekannt.
Behoben in
- 24.05.50
- 25.03.44
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Bis zur Behebung Application-Administrator-Konten auf vertrauenswürdige Mitarbeitende beschränken.
- Feedback-Vorschauen nicht öffnen, während man als globaler Administrator angemeldet ist.
Ausnutzung
- CISA SSVC: Ausnutzung Status poc, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher PoC in den geprüften Quellen bestätigt; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- EPSS laut Quelle niedrig (etwa 0.004).
Unsere Empfehlung
- Alle Countly-Instanzen und deren Versionen erfassen.
- countly-server auf 24.05.50 oder 25.03.44 oder neuer aktualisieren.
- Application-Administrator-Rechte prüfen und einschränken.
- Zugriff auf das Countly-Admin-Panel auf interne Netze oder VPN beschränken.
- Prüfen, ob personenbezogene Daten verarbeitet werden, und bei Verdacht auf Kompromittierung die datenschutzrechtlichen Pflichten beurteilen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-jqp4-p86c-phxc github.com
- Countly release 24.05.50 github.com
- Countly release 25.03.44 github.com
- Fix commit ae899f3 github.com
- Fix commit fcb16c8 github.com
- OSV entry CVE-2026-44977 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:06.
Referenzen der NVD (6)
- https://github.com/Countly/countly-server/commit/ae899f37bc6d70c1b44859756ce80a204ae72631
- https://github.com/Countly/countly-server/commit/fcb16c808c0fdb6dc99fe9c66de7fc560b3a9c41
- https://github.com/Countly/countly-server/releases/tag/24.05.50
- https://github.com/Countly/countly-server/releases/tag/25.03.44
- https://github.com/Countly/countly-server/security/advisories/GHSA-jqp4-p86c-phxc
- https://github.com/Countly/countly-server/security/advisories/GHSA-jqp4-p86c-phxc
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.