Sakai Conversations: Gespeichertes Cross-Site Scripting in Themen und Beiträgen
Zusammenfassung
Das Tool Conversations in Sakai speichert Nachrichten zu Themen, Beiträgen und Kommentaren ohne HTML-Bereinigung, und das Frontend stellt sie unsicher dar. Ein authentifizierter Benutzer mit Zugriff auf eine Site, in der Conversations aktiviert ist, kann HTML und JavaScript einschleusen, die im Browser anderer Benutzer ausgeführt werden, die das betroffene Thema oder den Beitrag ansehen. Eine erfolgreiche Ausnutzung kann Aktionen im Namen der Opfer und den Diebstahl von für sie sichtbaren Daten ermöglichen.
Betroffen
- Sakai 23.0 bis und mit 23.4
- Sakai 25.0 bis und mit 25.2
Behoben in
- Sakai 23.5
- Sakai 25.3
- Sakai 26.0
Umgehung
- Unbekannt. Der Hersteller-Advisory wurde für Workarounds nicht bestätigt; wenn kein Patch möglich ist, ist das Deaktivieren des Tools Conversations auf betroffenen Sites eine mögliche Massnahme.
Ausnutzung
- Erfordert ein gültiges Konto mit Zugriff auf eine Site, in der das Tool Conversations aktiviert ist, sowie ein Opfer, das die eingeschleusten Inhalte ansieht.
- CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar.
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden. Nicht im KEV-Katalog.
Unsere Empfehlung
- Prüfen, ob eine Sakai-Instanz im Einsatz ist, und deren genaue Version ermitteln.
- Auf 23.5, 25.3 oder 26.0 aktualisieren oder das Tool Conversations bis zur Aktualisierung deaktivieren.
- Konten und Site-Zugriffe überprüfen, da für den Angriff nur ein normales authentifiziertes Konto nötig ist.
- Conversations-Themen und -Beiträge auf verdächtige Inhalte überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-w2x5-gv52-9ccv github.com
- Fix commit 2696b4b (SAK-52622) github.com
- OSV: CVE-2026-54049 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.