Chargemap Web Platform: Gespeichertes Cross-Site Scripting in Benutzerprofil

Zusammenfassung

Chargemap enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in der Benutzerprofilseite. Ein authentifizierter Angreifer kann eine schädliche Nutzlast in seinem Profil speichern, die im Browser eines anderen Benutzers ausgeführt wird, der dieses Profil aufruft. Eine erfolgreiche Ausnutzung könnte Aktionen in der Sitzung des Opfers, die Manipulation angezeigter Inhalte oder Phishing innerhalb der vertrauenswürdigen Anwendung ermöglichen, mit Auswirkungen auf Vertraulichkeit und Integrität.

Betroffen

• Chargemap Web Platform, Versionen vor dem Sicherheitsfix vom 2026-07-17 (keine Versionsnummer veröffentlicht)

Behoben in

• Fix durch den Hersteller am 2026-07-17 eingespielt (keine Versionsnummer veröffentlicht)

Umgehung

• Unbekannt.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt (nicht im CISA-KEV-Katalog aufgeführt).
• CISA-SSVC-Daten führen die Ausnutzung als 'poc' (Proof of Concept existiert); öffentlicher Exploit-Code ist nicht bestätigt.
• Die Quellen widersprechen sich zum öffentlichen Exploit-Status; das referenzierte GitHub-Repository wurde nicht verifiziert.

Unsere Empfehlung

• Lassen Sie sich von Chargemap die behobene Version bestätigen und klären, ob der Fix für Ihren Mandanten oder Ihre Installation gilt.
• Falls Sie Chargemap nutzen, prüfen Sie, welche Mitarbeiter- oder Kundenkonten existieren, und beschränken Sie den Zugriff auf Profilseiten, wo möglich.
• Überprüfen Sie, ob der Herstellerfix aktiv ist, und verfolgen Sie die Mitteilungen des Herstellers.
• Prüfen Sie das CISA-CSAF-Advisory und das GitHub-Repository erneut, sobald sie lesbar sind.
• Klären Sie, ob die Plattform vom Hersteller gehostet oder selbst betrieben wird, da dies die Verantwortung für das Patchen bestimmt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  praksokchea/CVE-2026-67175

Quellen der Recherche

• CVE Record CVE-2026-67175 www.cve.org
• CISA CSAF advisory va-26-313-02 raw.githubusercontent.com
• GitHub repository praksokchea/CVE-2026-67175 github.com
• OpenCVE CVE-2026-67175 app.opencve.io
• OffSeq Radar CVE-2026-67175 radar.offseq.com
• TheHackerWire CVE-2026-67175 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:05.