🟠 CVE-2026-59795: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-59795 beschreibt eine Stored Cross-Site Scripting (XSS) Schwachstelle in JetBrains TeamCity vor Version 2026.1.2. Die Vulnerability ermöglicht unauthentifizierten Angreifern das Injizieren von schädlichem JavaScript-Code während des Agent-Registrierungsprozesses. Mit einem CVSS-Score von 8.1 wird die Schwachstelle als hochgradig kritisch eingestuft.

Betroffene Systeme

Folgende Versionen sind betroffen:

• JetBrains TeamCity vor 2026.1.2
• Alle Bereitstellungsarten (On-Premise, Cloud)
• Windows, Linux und macOS Umgebungen

Technische Details

Die Schwachstelle existiert im unauthentifizierten Agent-Registrierungsendpunkt. Der anfällige Code validiert und bereinigt die eingehenden Parameter bei der Agent-Registrierung unzureichend. Angreifer können speziell präparierte Payloads über die Registrierungsschnittstelle injizieren, welche persistent in der Datenbank gespeichert werden.

Bei nachfolgendem Abruf dieser Daten durch authentifizierte Benutzer wird das gespeicherte Skript im Browser des Administrators oder Operators ausgeführt. Dies ermöglicht Session-Hijacking, Credential-Harvesting oder administrative Aktionen ohne Autorisierung.

Empfohlene Massnahmen

• Sofort: Update auf TeamCity 2026.1.2 oder später durchführen
• Agent-Registrierungsendpunkte hinter WAF/Proxy mit Input-Validierung schützen
• Logs auf verdächtige Registrierungsaktivitäten überprüfen
• Administrative Sessions terminieren und Passwörter zurücksetzen
• Netzwerkzugriff auf Registrierungsendpunkte beschränken

Bewertung

Die fehlende Authentifizierung kombiniert mit Stored XSS stellt eine erhebliche Bedrohung dar. Ein Patch ist derzeit nicht verfügbar; ein sofortiges Update ist erforderlich. Organisationen sollten ihre TeamCity-Instanzen prioritär aktualisieren und bis dahin zusätzliche Netzwerk-Schutzmaßnahmen implementieren.

„`