GRR: Reflected Cross-Site Scripting über maj.php

Zusammenfassung

GRR, eine Anwendung zur Verwaltung und Reservation von Ressourcen, enthält eine Reflected Cross-Site Scripting (XSS) Schwachstelle in maj.php. Der Parameter forcemaj wird ohne ausreichende Maskierung zurückgegeben, jedoch nur, wenn die Installationsdateien auf dem Server erreichbar bleiben, was nicht automatisch geschieht. Ein Angreifer kann eine präparierte URL versenden; öffnet ein Opfer diese, wird beliebiges JavaScript im Browser des Opfers ausgeführt. Dies ermöglicht Phishing, Weiterleitungen auf bösartige Websites, Cookie-Diebstahl und Session-Übernahme, da das Authentifizierungs-Cookie nicht HttpOnly gesetzt ist. Das Opfer muss den Link öffnen.

Betroffen

• GRR-Versionen vor 4.5.0
• GitHub-Advisory listet <= 4.4.2 als betroffen; VulDB beschreibt es als bis 4.4.x
• Die Ausnutzung setzt voraus, dass die Installationsdateien (maj.php) erreichbar bleiben

Behoben in

• Behoben in GRR 4.5.0
• Fix-Commit: 4ef77f91818215c1f8e0f06023d89257dfd61c68
• Backports auf ältere Versionszweige: Unbekannt.

Umgehung

• Das Installationsverzeichnis entfernen oder den Webzugriff auf maj.php blockieren, falls ein Update nicht möglich ist.
• Weitere Massnahmen des Herstellers sind nicht dokumentiert. Das Setzen des Authentifizierungs-Cookies auf HttpOnly würde den Cookie-Diebstahl erschweren, dazu liegen jedoch keine Herstellerhinweise vor.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA KEV.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Das Label '0-Day' von VulDB bezieht sich auf den Veröffentlichungsstatus, nicht auf eine bestätigte Ausnutzung.

Unsere Empfehlung

• Alle GRR-Instanzen auf 4.5.0 aktualisieren.
• Bis dahin prüfen, ob das Installationsverzeichnis auf aus dem Internet erreichbaren GRR-Servern vorhanden ist, und es entfernen oder den Zugriff auf maj.php blockieren.
• Als Übergangsmassnahme prüfen, ob das Authentifizierungs-Cookie auf HttpOnly gesetzt werden kann, und dies zuvor mit dem Hersteller abklären.
• Webserver-Logs auf Anfragen an maj.php mit ungewöhnlichen forcemaj-Werten überwachen.
• Zusammen mit den übrigen in 4.5.0 behobenen GRR-Schwachstellen einspielen, einschliesslich CVE-2026-58256 (kritisch).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-r6x2-w38j-vvq2 advisory github.com
• Fix commit 4ef77f9 github.com
• GRR v4.5.0 tag github.com
• VulDB CVE entry vuldb.com
• OffSeq threat radar CVE-2026-58205 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:52.