Chargemap: Gespeichertes Cross-Site-Scripting bei der Kontoregistrierung
Zusammenfassung
Chargemap enthält eine Schwachstelle vom Typ gespeichertes Cross-Site-Scripting (XSS). Ein entfernter, nicht authentifizierter Angreifer kann im Feld Benutzername der Registrierungsseite einen Script-Payload hinterlegen und das Konto mit der E-Mail-Adresse eines Opfers verknüpfen. Anschliessend löst der Angreifer für das Opfer eine Anfrage zum Zurücksetzen des Passworts aus, und der Payload wird im Browser des Opfers ausgeführt, sobald dieses den Link öffnet. Der CVSS-4.0-Wert beträgt 5.1 (Mittel), und laut Eintrag ist eine Benutzerinteraktion erforderlich.
Betroffen
- Chargemap-Plattform, Versionen vor dem 2026-07-17 (der Hersteller verwendet im Eintrag keine Versionsnummern; der betroffene Bereich ist datumsbasiert)
Behoben in
- Behoben am 2026-07-17 laut CVE-Eintrag und Drittquellen. Herstellerhinweis nicht gefunden.
Umgehung
- Keine veröffentlicht. Die Behebung erfolgt serverseitig, daher sind Kunden auf den Hersteller angewiesen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- Laut OffSeq-Tracker nicht bekanntermassen in freier Wildbahn ausgenutzt.
- Der Status eines öffentlichen Proof of Concept ist widersprüchlich und nicht verifiziert. Unbekannt.
Unsere Empfehlung
- Bestätigen Sie beim Hersteller schriftlich, dass Ihr Mandant bzw. der Dienst den Fix vom 2026-07-17 oder einen späteren Build einsetzt.
- Fragen Sie nach, ob bestehende Konten auf bösartige Benutzernamen geprüft wurden.
- Informieren Sie die Mitarbeitenden, dass E-Mails zum Zurücksetzen des Passworts auf Seiten mit eingeschleusten Scripts führen können, und dass sie die Dienstadresse direkt eingeben statt Links anzuklicken sollen.
- Überwachen Sie ungewöhnliche Kontoaktivitäten und beschränken Sie den Zugriff auf Flotten- und Ladekonten, wo möglich.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
praksokchea/CVE-2026-67177
Quellen der Recherche
- CVE record mirror (OpenCVE) app.opencve.io
- CVE record mirror with CVSS vector and dates (threatint) cve.threatint.com
- CISA CSAF advisory va-26-313-02 (not opened) raw.githubusercontent.com
- The Hacker Wire: CVE-2026-67177 www.thehackerwire.com
- OffSeq Radar: CVE-2026-67177 radar.offseq.com
- Strix AI: CVE-2026-67177 www.strix.ai
- Patrick Coyle newsletter (CISA coordination history) patrickcoyle.substack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.