AliasVault Browser-Erweiterung: Passkey-Anfragen nicht an Origin oder RP-ID gebunden
Zusammenfassung
Der Passkey-Provider der AliasVault Browser-Erweiterung prüft nicht, ob Passkey-Anfragen von der tatsächlichen Website stammen oder ob die Relying-Party-ID zur aktuellen Website passt. Eine bösartige Website kann gefälschte Origin- und Relying-Party-Werte übermitteln und erhält, wenn ein Opfer die AliasVault-Passkey-Abfrage für eine Website mit gespeichertem passendem Passkey bestätigt, eine gültige Assertion für eine andere Website. Ein Angriff setzt voraus, dass die Erweiterung installiert, entsperrt und als Passkey-Provider konfiguriert ist, und das Opfer muss die Abfrage bestätigen, daher kann er nicht still erfolgen. Der AliasVault-Server, die Webanwendung und die mobilen Apps sind laut Hersteller nicht betroffen.
Betroffen
- AliasVault Browser-Erweiterung Versionen vor 0.29.4
- Server, Webanwendung und mobile Apps: laut Hersteller nicht betroffen
Behoben in
- Behoben in der AliasVault Browser-Erweiterung Version 0.29.4 (Fix-Commit a60d096)
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
- Nur als Übergangslösung: Passkey-Provider in der Erweiterung deaktivieren oder entfernen, falls er nicht benötigt wird.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Zum Zeitpunkt der Recherche gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn und keinen öffentlichen Proof-of-Concept.
Unsere Empfehlung
- Die AliasVault Browser-Erweiterung auf Version 0.29.4 oder neuer aktualisieren, idealerweise auf die neueste verfügbare Version.
- Bis zur Aktualisierung den Passkey-Provider deaktivieren, falls keine Passkeys benötigt werden.
- Nur Passkey-Abfragen bestätigen, die Sie selbst ausgelöst haben und die zur aktuell besuchten Website passen.
- Prüfen, für welche Websites in AliasVault Passkeys gespeichert sind, und auf unerwartete Abfragen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f99p-jfhr-6ffc github.com
- Fix commit a60d096 github.com
- AliasVault release 0.29.4 github.com
- Vulners CVE-2026-55587 vulners.com
- OpenCVE CVE-2026-55587 app.opencve.io
- VulDB 420797 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.