Tracecat: Ausdruckseditor setzt gespeicherten Text als HTML in den Tooltip

Der Tooltip des Ausdruckseditors baute seinen Inhalt als Markup statt als Text, womit gespeicherter Ausdruckstext zu Skript wird.

Advisory-ID: TP-2026-091
Produkt: Tracecat (Automatisierungsplattform fuer Sicherheitsteams, Python und React)
Schwachstellentyp: Stored Cross-Site-Scripting (CWE-79)
CVE: beantragt (GitHub CNA), Vergabe ausstehend
CVSS 3.1: 7.3 (Hoch) · CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Betroffene Versionen: >= 0.37.0, < 1.0.0-beta.51-rc.14
Hersteller-Advisory: GHSA-44g6-p5rh-fj3v
Behoben in: 1.0.0-beta.51-rc.14
Gemeldet: 03. Juni 2026

Zusammenfassung

Tracecat automatisiert Ablaeufe fuer Sicherheitsteams, und seine Workflows enthalten Ausdruecke, die auf Ergebnisse vorheriger Schritte verweisen. Faehrt ein Nutzer im Editor ueber einen solchen Ausdruck, zeigt ein Tooltip den zugehoerigen Text an. Die Hilfsfunktionen, die diesen Tooltip bauten, setzten den aus dem Ausdruck gewonnenen Text als Markup in den DOM statt als Textknoten. Ein Mitglied mit Bearbeitungsrecht speichert damit Inhalt, der im Browser eines anderen Mitglieds als Skript laeuft, sobald dieses den Workflow oeffnet und den Ausdruck beruehrt. In einem Arbeitsbereich mit mehreren Mitgliedern bedeutet das eine Rechteausweitung auf die Befugnisse des Betrachtenden.

Ursache

Die Hilfsfunktionen fuer den Tooltip des Ausdruckseditors fuegten den aus dem Token gewonnenen Text als HTML ein, statt ihn als Textinhalt zu setzen, weshalb der Browser gespeicherten Ausdruckstext als Markup parste. Der Fix baut die Tooltip-Elemente nun ueber Textknoten auf, sodass derselbe Inhalt nur noch angezeigt und nicht mehr ausgewertet wird. Betroffen sind die Versionen ab 0.37.0 bis vor 1.0.0-beta.51-rc.14, und zwar in Installationen, in denen mehrere Mitglieder eines Arbeitsbereichs dieselben Workflows bearbeiten und pruefen. Das Hersteller-Advisory nennt keine Datei- und Zeilenangabe, weshalb hier keine genannt wird. Eine Einzelnutzer-Installation und ein Workflow, den niemand sonst oeffnet, sind von der Rechteausweitung nicht betroffen.

Proof of Concept

# Als Mitglied mit Bearbeitungsrecht im Arbeitsbereich:
# eine Aktion speichern, deren Ausdrucksfeld praeparierten Text traegt,
# etwa einen Token-Namen, der Markup enthaelt.

# Opfer: oeffnet denselben Workflow im Editor und faehrt mit der Maus
# ueber den Token -> der Tooltip baut den Text als HTML, das Skript laeuft
# in der Herkunft der Anwendung mit den Rechten des Betrachtenden.

Der Angriff braucht zwei Beteiligte: jemanden mit Schreibrecht auf den Workflow und ein zweites Mitglied, das ihn ansieht. Genau das ist der uebliche Pruefablauf in einem geteilten Arbeitsbereich.

Auswirkung

  • Skriptausfuehrung in der Herkunft der Anwendung mit den Befugnissen des betrachtenden Mitglieds.
  • Rechteausweitung von einem Bearbeiter auf ein hoeher berechtigtes Mitglied, das denselben Workflow prueft.
  • Beglaubigte Aktionen im Namen des Opfers, soweit dessen Rolle sie zulaesst.
  • Keine Auswirkung auf die Verfuegbarkeit, diese wurde nicht nachgewiesen.

Referenzen

Steckt so etwas in Ihrer Software?

Diese Schwachstelle hat unser Team im Rahmen seiner Arbeit gefunden. Lassen Sie Ihre Anwendungen von denselben Spezialisten prüfen, mit einem Penetrationstest von turingpoint.

Pentest anfragen