OpenAtlas – Schwachstelle XSS in Farb-Feldern “ORT”

CVE-2025-60917 – Cross-Site Scripting in Network ORT

Metadaten

CVE-ID	CVE-2025-60917
Produkt	OpenAtlas
Hersteller	Austrian Academy of Sciences Österreichische Akademie der Wissenschaften
Betroffene Version	<= 8.12.0
Behobene Version	8.13.0
CVSS v3.1	5.1 Medium CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
CWE	CWE-79
Referenz	OpenAtlas Release Notes
NVD
EUVD
Gefunden am	08.August.2025
Gefunden von	Ferat Aydin

Schwachstellenbeschreibung

In der OpenAtlas-Ansicht “/overview/network/” werden Werte aus den Farbeingabefeldern (z. B. #place für Ort) ungefiltert in den HTML zurückgeschrieben. Dadurch gelangen Benutzereingaben in den HTML∕Attribut-Kontext. Enthält der Wert

Auswirkungen

• Ausführung von JavaScript im Kontext der Applikation

Hersteller-Statement

“Diese Werte werden jetzt mit einer regex geprüft”

Empfehlungen

• Update auf Aktuelle Version[OpenAtlas Version]

Proof of Concept / Beweisführung

#FF0000<script></script>
#FF0000<><script>1</script>"onclick=alert(sec4you)><svg/onload=alert(1)>
#FF0000<script></script>"onclick=alert(1)><svg/onload=alert(1)>

Diese Schwachstelle wurde im Rahmen eines Penetrationstests einer internen Infrastruktur entdeckt.

Zeitleiste

2025	Ereignis	Anmerkung
08.August	Entdeckung der Schwachstelle	Schwachstelle im Rahmen eines On-Premise-Tests entdeckt
10. August	Versenden Bericht	Bericht an hersteller gesendet
19. August	Review und Rückmeldung	Hersteller informiert die Researcher das die Schwachstelle behoben wurde
07. November	MITRE CVE	Erhalte der CVE von MITRE

Dank & Annerkennung