Xerj Console API: Authentifizierungsumgehung über Bearer-Tokens
Zusammenfassung
Die Xerj Console API akzeptiert API-Bearer-Tokens dort, wo eine mit Passkey authentifizierte Sitzung erforderlich wäre. Ein Angreifer mit einem gültigen Token kann den Endpunkt zur Erstellung von API-Tokens aufrufen und Nachfolgetokens erzeugen, die auch nach dem Widerruf des ursprünglichen Tokens gültig bleiben. Gehört das ursprüngliche Token zu einem Kontoinhaber, behält das Nachfolgetoken volle Administratorrechte. Für den Angriff ist zuerst ein gültiges Token nötig.
Betroffen
- Xerj Console API v1.0.0-rc.11 (im CVE-Eintrag aufgeführt)
- Frühere und spätere Versionen: Unbekannt.
Behoben in
- Eine freigegebene Version mit dem Fix ist nicht bekannt. Die erste korrigierte Version ist Unbekannt.
- Ein Fix existiert als Pull Request #2003 im Hauptzweig. Das Datum der Zusammenführung ist nicht verifiziert.
- Der Fix widerruft keine Tokens, Passkeys oder Einladungen, die vor dem Upgrade erstellt wurden.
Umgehung
- Es ist kein vom Hersteller validierter Workaround verfügbar.
- Allgemeine Empfehlung: Passkey-Authentifizierung für alle Bearer-Token-Anfragen erzwingen.
- Netzwerkzugriff auf die Konsole auf vertrauenswürdige Netze beschränken.
Ausnutzung
- CERT/CC meldet keine Ausnutzung in freier Wildbahn.
- VulDB meldet keinen bekannten Exploit. Die Schwachstelle steht nicht auf der KEV-Liste von CISA.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Xerj eingesetzt wird, und die installierte Version bestätigen.
- Den Zugriff auf die Konsole sofort auf vertrauenswürdige Netze beschränken.
- Alle API-Tokens, registrierten Passkeys und ausgestellten Einladungen prüfen und unbekannte widerrufen.
- Pull Request #2003 und die CERT/CC-Meldung verfolgen und die erste korrigierte Version installieren.
- Hinweis: Der CVSS-Wert ist umstritten (CVE-Eintrag 9.1, VulDB 7.3, Vulners 5.8). Vor einer Meldung gegen NVD oder CERT/CC prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT/CC Vulnerability Note VU#645818 kb.cert.org
- GitHub Pull Request #2003 (xerj-org/xerj) github.com
- GitHub Issue #2020 (xerj-org/xerj) github.com
- OpenCVE: CVE-2026-97406 app.opencve.io
- VulDB: vuln 422961 vuldb.com
- Strix: CVE-2026-97406 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:14.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.