SOCFortress CoPilot: Gespeicherte XSS in Alarmkommentaren und SOC-Feldern

Zusammenfassung

SOCFortress CoPilot stellt vom Benutzer eingegebene Alarmkommentare sowie SOC-Fall-, Asset- und Health-Check-Felder im Portal als rohes HTML dar. Ein Portalbenutzer, einschliesslich eines customer_user, kann Skriptcode speichern, der im Browser eines anderen Benutzers ausgeführt wird, der das betroffene Element ansieht, etwa ein Analyst oder ein Administrator. Laut CVE-Beschreibung könnten gestohlene Token eine Kontoübernahme und mandantenübergreifenden Zugriff ermöglichen; dieser Token-Teil wird durch die Commit-Auszüge nicht bestätigt. Der CNA stuft die Schwachstelle mit CVSS 3.1 9.9 (Kritisch) ein.

Betroffen

• SOCFortress CoPilot Versionen vor 0.1.76
• Health-Check-Feld: laut CVE-Beschreibung betroffen vor 0.1.70 (nicht unabhängig verifiziert)

Behoben in

• Version 0.1.76 (vorläufig erste Version mit den beobachteten Korrekturen, gemäss den Commits und Release-Notes des Herstellers)
• Health-Check-Feld: 0.1.70 laut CVE-Beschreibung (nicht unabhängig verifiziert)

Umgehung

• Keine Workaround-Massnahme des Herstellers bekannt. Auf 0.1.76 oder eine neuere Version aktualisieren.
• Bis zur Korrektur: customer_user-Konten einschränken und gespeicherte Kommentare sowie Fallfelder nach Skript- oder HTML-Inhalten durchsuchen.

Ausnutzung

• Zum Zeitpunkt der Erstellung nicht als ausgenutzt bekannt.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• CoPilot auf 0.1.76 oder eine neuere Version aktualisieren.
• Portalkonten auf vertrauenswürdige Benutzer beschränken und gespeicherte Kommentare sowie Fallfelder auf verdächtige HTML- oder Skriptinhalte prüfen.
• Nach der Aktualisierung eine erneute Anmeldung für Analysten und Administratoren erzwingen, die betroffene Inhalte angesehen haben, und deren Sitzungen als möglicherweise kompromittiert behandeln.
• Den Zugriff auf das Portal nach Möglichkeit auf das interne Netzwerk beschränken.

Quellen der Recherche

• GitHub Security Advisory GHSA-8hqj-cqcc-5f6w github.com
• Commit ab9078b: render user-submitted fields as text github.com
• Commit 461e8f8: General refactor 4 (PR #904) github.com
• Pull request #938 github.com
• CoPilot tag v0.1.76 github.com
• CoPilot v0.1.76 release notes newreleases.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:21.