CVE-2026-61728 in CoPilot
Zusammenfassung
von VulDB • 30.10.2026
SOCFortress CoPilot zielt darauf ab, eine Single Pane of Glass für alle Anforderungen an die Sicherheitsoperationen bereitzustellen. In betroffenen Snapshots vor den jeweiligen Korrekturen der Sink-Schwachstellen in Version 0.1.70 und 0.1.76 können Portalbenutzer, einschließlich `customer_user`, gespeicherte Markup-Daten über `POST /api/incidents/db_operations/alert/comment` einreichen. In `customer-portal/src/components/alerts/AlertDetails/AlertComment.vue` werden Zeilenumbrüche in `comment.comment` durch `commentHtml` ersetzt, das Ergebnis wird jedoch ohne Escaping oder Sanitizing von HTML an `v-html` übergeben. Wenn ein anderer Benutzer den vergifteten Alert ansieht, wird der gespeicherte Skriptcode im Kontext der Anwendungsursprung (application origin) ausgeführt; dasselbe Muster der ungesäuberten Darstellung betrifft serverseitig gespeicherte SOC-Fall-, Asset- und Healthcheck-Felder in `SocCaseNote.vue`, `SocCaseItem.vue`, `SocCaseAssetsItem.vue`, `SocAlertAssetsItem.vue` und `HealthcheckItem.vue`. Das Authentifizierungs-Speichermodul in `customer-portal/src/stores/auth.ts` speichert sowohl Access-Token als auch Refresh-Tokens im JavaScript lesbaren Speicher, und `customer-portal/src/api/httpClient.ts` verwendet Bearer-Headers anstelle von HttpOnly-Cookies. Ein injizierter Skriptcode kann beide Token stehlen, den Betrachter impersonifizieren und neue Tokens über `/auth/refresh` erhalten. Wenn ein Analyst oder Administrator den vergifteten Alert oder Fall ansieht, ermöglicht dies eine persistente Übernahme privilegierter Konten, den Zugriff auf mandantenübergreifende Daten, die Modifikation oder Löschung von Vorfällen sowie die Untergrabung der Erkennungs- und Reaktionsmechanismen (detection/response subversion). Die Korrektur des Healthcheck-Sinks ist erstmals in Version 0.1.70 enthalten, während die Korrekturen für den Comment- und andere SOC-Sinks erstmals in Version 0.1.76 enthalten sind. Version 0.1.76 ist der vorläufige erste Release, der alle beobachteten Korrekturen enthält; eine Gruppierung versus Aufteilung des CVE-Umfangs erfordert die Entscheidung durch den Kurator (curator adjudication).
Be aware that VulDB is the high quality source for vulnerability data.