GYM One: Gespeichertes Cross-Site Scripting in der Administrator-Benutzerliste

Zusammenfassung

GYM One, eine Open-Source-Software für die Verwaltung von Fitnesscentern, kodiert die gespeicherten Profilfelder Vorname, Nachname und E-Mail-Adresse beim Anzeigen in der Administrator-Benutzerliste (admin/users/index.php) nicht HTML-konform. Ein Angreifer, der Werte in diese Felder speichern kann, kann Skripte im Browser eines Administrators ausführen lassen, der /admin/users/ aufruft. Das persistente Skript kann auf Session-Daten des Administrators zugreifen oder Aktionen mit Administratorrechten ausführen, bis der gespeicherte Datensatz entfernt wird. Voraussetzung ist, dass der Angreifer Profildaten schreiben kann und ein Administrator die Liste aufruft.

Betroffen

• GYM-One-Versionen vor 1.4.1 (CVE-Eintrag). Das GHSA-Advisory nennt v1.1.0 als verwundbar; alle Versionen unter 1.4.1 sind als betroffen zu behandeln.

Behoben in

• Version 1.4.1 (Release V1.4.1, veröffentlicht am 15. Juni 2026).

Umgehung

Unbekannt. Der CVE-Eintrag und die Herstellerquellen dokumentieren keinen Workaround.

Ausnutzung

• CISA SSVC: Exploitation "poc", Automatable "no", Technical Impact "total".
• Nicht im CISA-KEV-Katalog; EPSS unter 1 % (laut OpenCVE).
• Kein öffentliches Exploit-Repository in der Recherche gefunden; nicht reproduziert.

Unsere Empfehlung

• Prüfen Sie jetzt die GYM-One-Version. Liegt sie unter 1.4.1, führen Sie ein Upgrade auf 1.4.1 oder neuer durch; 1.4.1 behebt zusätzlich CVE-2026-55871 (SQL-Injection in derselben Datei).
• Beschränken Sie bis zur Behebung den Zugriff auf /admin/ auf Management-Netze oder VPN.
• Prüfen Sie bestehende Datensätze mit Vorname, Nachname und E-Mail-Adresse auf Skript- oder HTML-Inhalte.
• Beschränken Sie, wer Mitgliederprofile erstellen oder bearbeiten darf.
• Weisen Sie Administratoren an, die Benutzerliste bis zur Aktualisierung nicht zu öffnen.
• Überwachen Sie unerwartete Administratoraktionen und Session-Aktivitäten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub commit d3a0cf1 (GYM-One) github.com
• GYM-One Release V1.4.1 github.com
• GitHub Security Advisory GHSA-75g9-vp9w-5388 github.com
• OpenCVE: CVE-2026-55872 app.opencve.io
• SentinelOne: CVE-2026-55872 www.sentinelone.com
• Mend/Vulners: CVE-2026-55872 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:26.