Cronicle: Persistentes XSS im Admin-Aktivitätsprotokoll über den vollen Benutzernamen

Zusammenfassung

Cronicle, ein Task-Scheduler für mehrere Server mit Web-Oberfläche, kodiert den vollen Benutzernamen nicht, wenn er im Aktivitätsprotokoll des Administrators angezeigt wird. Ein Benutzer kann ein Skript in seinem eigenen vollen Namen speichern, bei aktivierter Option free_accounts auch während der Selbstregistrierung, und es wird ausgeführt, sobald ein Administrator das Aktivitätsprotokoll öffnet. Dies kann zur Übernahme des Administratorkontos und über privilegierte Funktionen wie das Shell-Plugin zur Befehlsausführung auf dem Server führen.

Betroffen

• Cronicle-Versionen vor 0.9.119
• Gemäss Advisory alle Versionen bis einschliesslich v0.9.118

Behoben in

• Version 0.9.119 (Commit 8b60eb5b041614ab661df50e58e612f5e42a7d30)

Umgehung

• Kein vom Hersteller veröffentlicher Workaround.
• Selbstregistrierung (free_accounts) deaktivieren, falls aktiviert.
• Bestehende volle Benutzernamen auf HTML- oder Skriptinhalte prüfen.
• Eine Content-Security-Policy auf dem Reverse Proxy in Betracht ziehen; vor dem Einsatz testen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein, technische Auswirkung: total.
• Als aktiv ausgenutzt bekannt (CISA KEV): nicht gefunden.
• Kein unabhängiger öffentlicher Proof of Concept gefunden; der Autor des Advisory hat das Verhalten in eigenen Tests verifiziert.

Unsere Empfehlung

• Cronicle auf Version 0.9.119 oder neuer aktualisieren.
• Prüfen, ob free_accounts aktiviert ist und ob die Admin-Oberfläche aus dem Internet erreichbar ist; Instanzen mit Internetzugang oder Selbstregistrierung priorisieren.
• Benutzerkonten und volle Namen auf verdächtige Skriptinhalte prüfen.
• Administratorkonten einschränken und auf unerwartete Änderungen an Benutzern, Jobs und Plugins achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vh39-3pcm-2j63 github.com
• Cronicle release v0.9.119 github.com
• Fix commit 8b60eb5 github.com
• OSV entry CVE-2026-55562 osv.dev
• VulDB entry 417809 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:13.