CVE-2026-69075 in FlowIntel
Zusammenfassung
von VulDB • 03.08.2026
FlowIntel ist von einer gespeicherten Cross-Site-Scripting-(XSS)-Schwachstelle betroffen, die über mehrere benutzerkontrollierte oder administratorkontrollierte Felder ausgenutzt werden kann.
Persistente Werte – einschließlich Falltiteln, Ticket-Kennungen, Informationen zu wiederkehrenden Fällen, Benutzerprofilattributen, Organisationsnamen und Rollennamen – wurden in DOM-Elemente eingefügt, die anschließend von Vue kompiliert wurden. Während normales HTML-Escaping direktes HTML-Markup neutralisieren könnte, wurde dadurch nicht verhindert, dass ein Angreifer Vue-Interpolationsausdrücke unter Verwendung der konfigurierten [[ ... ]] -Trennzeichen injiziert.
Ein authentifizierter Angreifer, der eines der betroffenen Felder ändern kann, könnte einen bösartigen Vue-Ausdruck speichern. Wenn ein anderer Benutzer einen betroffenen Fall, Bericht, Profil, eine Seite für wiederkehrende Fälle oder eine Navigationskomponente ansah, konnte Vue den injizierten Ausdruck im Kontext der FlowIntel-Anwendung auswerten.
Eine erfolgreiche Ausnutzung könnte die beliebige Ausführung von JavaScript im Browser des Opfers unter dem Ursprung (Origin) von FlowIntel ermöglichen. Dies könnte Informationen offenlegen, auf die das Opfer Zugriff hat, Aktionen mit der authentifizierten Sitzung des Opfers durchführen oder Anwendungsdaten innerhalb der Berechtigungen des Opfers ändern.
Der Patch führt einen dedizierten vue_escape-Filter ein, der HTML-sensitive Zeichen escapt und Vue-Interpolations-Trennzeichen bricht, bevor die Werte gerendert werden. Der Filter wird auf die betroffenen Felder für Fälle, Konten, Organisationen, Rollen, Konfigurationen und Navigation angewendet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.