Microsoft ASP.NET Core: Cross-Site Scripting im Blazor-WebAssembly-Debugging

Zusammenfassung

Die ASP.NET-Core-Komponenten von Microsoft für Blazor WebAssembly enthalten eine Cross-Site-Scripting-Schwachstelle (CWE-79) im Debug-Endpunkt des Entwicklungsservers. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Skripte einschleusen, die im Browser eines Benutzers ausgeführt werden, der einen präparierten Link oder eine präparierte Seite öffnet, etwa um im Namen des Opfers in dessen Sitzung zu handeln. Voraussetzung ist, dass die Debug-Middleware (UseWebAssemblyDebugging) aktiv ist und ein Benutzer interagiert. Der Titel von Microsoft spricht von Remote Code Execution, der dokumentierte Mechanismus ist jedoch eine Skript-Einschleusung.

Betroffen

• Microsoft.AspNetCore.Components.WebAssembly.Server 8.0 vor 8.0.32
• Microsoft.AspNetCore.Components.WebAssembly.Server 9.0.0 bis 9.0.20
• Microsoft.AspNetCore.Components.WebAssembly.Server 10.0.0 bis 10.0.12
• Microsoft.AspNetCore.Components.WebAssembly.Server 11.0.0-preview.1 vor 11.0.0-rc.2
• Visual Studio 2022 Version 17.14 vor Build 17.14.42 (gemäss Versionsbereich im CVE-Eintrag)
• Visual Studio 2026 Version 18.10 vor Build 18.10.4

Behoben in

• Microsoft.AspNetCore.Components.WebAssembly.Server 8.0.32, 9.0.21, 10.0.13 und 11.0.0-rc.2
• Visual Studio 2026 Build 18.10.4
• Visual Studio 2022 17.14: Build 17.14.42 gemäss Versionsbereich im CVE-Eintrag; nicht unabhängig bestätigt

Umgehung

• Keine separate offizielle Massnahme; das Aktualisieren ist die Behebung.
• Sicherstellen, dass UseWebAssemblyDebugging nur in der Umgebung Development aufgerufen wird und in Produktion oder aus unvertrauenswürdigen Netzwerken nicht erreichbar ist.
• Allgemeine Härtung, keine Microsoft-Empfehlung: Eine Content Security Policy, die Inline-Skripte einschränkt, kann die Auswirkungen verbleibender XSS-Schwachstellen verringern.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
• MSRC: Öffentlich bekannt Nein, Ausgenutzt Nein, Ausnutzbarkeitsbewertung Exploitation Less Likely.
• Kein öffentlicher Proof of Concept gefunden; das einzige öffentliche Element ist eine statische Analyseregel zur Erkennung exponierter Debug-Middleware.
• EPSS-Werte variieren je nach Quelle (unter 1 % bis etwa 0,95 %).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Alle Projekte inventarisieren, die Microsoft.AspNetCore.Components.WebAssembly.Server verwenden, einschliesslich transitiver Abhängigkeiten.
• Auf 8.0.32, 9.0.21, 10.0.13 oder 11.0.0-rc.2 aktualisieren, passend zur Linie des jeweiligen Projekts; Visual Studio 2026 auf 18.10.4 aktualisieren und das neueste Update für Visual Studio 2022 17.14 installieren.
• Prüfen, dass die Debug-Middleware in der Produktion nicht aktiv ist und Entwicklungssysteme nicht aus unvertrauenswürdigen Netzwerken erreichbar sind.
• Auch bei geringer direkter Exposition patchen, da NuGet-Audit-Werkzeuge das Paket unabhängig vom Endpunkt markieren können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  codevalai/microsoft-security-advisory-cv

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96230 msrc.microsoft.com
• GitHub Security Advisory GHSA-qjpx-jqm5-h2c4 (via OSV) osv.dev
• Microsoft .NET announcement github.com
• NuGet package Microsoft.AspNetCore.Components.WebAssembly.Server 10.0.9 www.nuget.org
• HeroDevs vulnerability directory entry www.herodevs.com
• Ubuntu security notice CVE-2026-96230 ubuntu.com
• Red Hat Bugzilla 2548804 bugzilla.redhat.com
• Mallory vulnerability analysis mallory.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:56.