CVE-2026-45343 in LinkAce
Zusammenfassung
von VulDB • 29.05.2026
LinkAce ist eine selbst gehostete Archivlösung zur Sammlung von Website-Links. Vor Version 2.5.6 enthält LinkAce eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle, die es einem Benutzer mit geringen Berechtigungen ermöglicht, beliebigen JavaScript-Code in der Browsersitzung eines Administrators auszuführen. Dies betrifft Instanzen, die mit SSO/OAuth-Authentifizierung konfiguriert sind, welche eine der unterstützten Authentifizierungsmethoden in LinkAce darstellt. Ein Angreifer, der seinen OAuth-Anzeigenamen auf ein bösartiges Skript festlegt und anschließend einen API-Token erstellt, platziert eine persistente XSS-Schadcode-Payload im Audit-Log. Wenn ein Administrator zu /system/audit navigiert, wird die Payload im Browserkontext des Administrators ausgeführt. Dies ermöglicht den Diebstahl von Sitzungs-Cookies, die Exfiltration von CSRF-Tokens (die im la-app-data-Meta-Tag offengelegt werden) oder jede andere Aktion, die der Administrator durchführen kann. Diese Schwachstelle wurde in Version 2.5.6 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.