Waline: Gespeicherte Cross-Site-Scripting-Lücke im UserList-Widget über unescapten Kommentator-Link

Zusammenfassung

Waline bis einschliesslich 3.15.2 ist ein Kommentarsystem, dessen UserList-Widget aus @waline/client Kommentator-Name und Link ohne HTML-Escaping in die Seite einfügt. Ein nicht angemeldeter Besucher kann einen Kommentar mit manipuliertem Link-Wert speichern, wodurch ein Skript im Browser jedes Besuchers einer Seite mit eingebettetem Widget ohne Benutzerinteraktion ausgeführt wird. Das Link-Feld wird vom Spam-Filter nicht geprüft, daher funktioniert der Angriff auch bei einer Standardinstallation. Im Browser gespeicherte Sitzungs-Token könnten gestohlen werden, was bei angemeldeten Benutzern oder Administratoren, die die Seite betrachten, zur Übernahme des Kontos führen kann.

Betroffen

• Waline (@waline/client) Versionen <= 3.15.2
• Nur Websites, die das UserList-Widget einbinden, sind von der clientseitigen Einschleusung betroffen

Behoben in

Unbekannt. Zum Zeitpunkt der Veröffentlichung war kein Patch öffentlich verfügbar. Das npm-Paket liegt bei 3.16.2, aber keine Quelle bestätigt, dass diese Version die Korrektur enthält.

Umgehung

• Das UserList-Widget von den Seiten entfernen, bis eine Korrektur bestätigt ist
• Gespeicherte Kommentare im Admin-Dashboard auf link-Werte prüfen, die Markup statt einer einfachen URL enthalten
• Eine Content Security Policy einsetzen, die Inline-Skripte und Inline-Event-Handler blockiert; dies begrenzt die Auswirkungen, ist aber keine Korrektur

Ausnutzung

• Laut einem Aggregator nicht bekannterweise in freier Wildbahn ausgenutzt
• Nicht in der CISA-KEV-Liste aufgeführt
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert
• VulDB stuft die Ausnutzung als einfach ein (Bewertung, kein Nachweis von Angriffen)

Unsere Empfehlung

• Alle Websites mit Waline <= 3.15.2 identifizieren und prüfen, ob sie das UserList-Widget verwenden
• Die oben genannten Massnahmen umgehend umsetzen
• Das GitHub-Advisory GHSA-7w94-hxwm-gg99 überwachen und sobald eine korrigierte Version bestätigt ist, aktualisieren
• Prüfen, ob die verwandte Waline-XSS-Lücke CVE-2026-64670 ebenfalls zutrifft, und gleichzeitig beheben

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7w94-hxwm-gg99 github.com
• CVE Record CVE-2026-64671 www.cve.org
• OpenCVE CVE-2026-64671 app.opencve.io
• VulDB entry 435599 vuldb.com
• npm package @waline/client www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:45.