CVE-2025-64711 in PrivateBin
Zusammenfassung
von VulDB • 09.06.2026
PrivateBin ist ein Online-Pastebin-Dienst, bei dem der Server keinerlei Kenntnis über die eingefügten Daten hat (Zero-Knowledge). Ab Version 1.7.7 und vor Version 2.0.3 wird beim Ziehen einer Datei, deren Dateiname HTML enthält, dieser Name unverändert durch den Drag-and-Drop-Helfer in die Seite eingebettet. Dadurch führt jeder Benutzer, der eine entsprechend manipulierte Datei auf PrivateBin ablegt, beliebigen JavaScript-Code innerhalb seiner eigenen Sitzung aus (Self-XSS). Dies ermöglicht es einem Angreifer, der ein Opfer dazu bringen kann, eine solche Datei per Drag-and-Drop hinzuzufügen oder anderweitig anzuhängen, Klartext, Verschlüsselungsschlüssel oder gespeicherte Einträge zu extrahieren, bevor diese verschlüsselt oder gesendet werden. Für die Ausnutzbarkeit der Schwachstelle müssen bestimmte Bedingungen erfüllt sein. Nur macOS- oder Linux-Nutzer sind betroffen, da das Zeichen `>` in einem Dateinamen unter Windows anders behandelt wird. Die PrivateBin-Instanz muss den Dateiupload aktiviert haben. Ein Angreifer benötigt Zugriff auf das lokale Dateisystem oder muss den Benutzer dazu überreden, eine bösartige Datei (bzw. einen entsprechenden Dateinamen) zu erstellen bzw. herunterzuladen. Zudem muss der Angreifer den Benutzer davon überzeugen, diese schädliche Datei an PrivateBin anzuhängen. Jeder Mac- oder Linux-Benutzer, der dazu getäuscht wird, eine Datei mit einem bösartigen Namen in den Editor zu ziehen, ist betroffen; dabei wird Code im Ursprungskontext (Origin) der verwendeten PrivateBin-Instanz ausgeführt. Angreifer können Klartext und Passphrasen stehlen oder die Benutzeroberfläche manipulieren, bevor Daten verschlüsselt werden, wodurch die Zero-Knowledge-Garantien für diese Opfersitzung untergraben werden – vorausgesetzt, Gegenmaßnahmen wie Content-Security-Policy (CSP) wurden deaktiviert. Wenn CSP nicht deaktiviert ist, können HTML-Injection-Angriffe möglich sein, z. B. das Umleiten auf eine fremde Website oder Phishing. Da der gesamte Exploit in den Dateinamen der angehängten Datei eingebettet werden muss und nur die lokale Sitzung des Benutzers betrifft (d. h., er ist weder persistent noch remote ausführbar) und dieser Benutzer aktiv interagieren und die Datei anfügen muss, wird das Ausmaß als praktisch gering eingestuft. Version 2.0.3 behebt dieses Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.