Graylog – Diebstahl von Session-Cookies über Event-Definition-Felder

Beschreibung

In der Log-Management-Plattform Graylog ist es vor den Versionen 6.0.14, 6.1.10 und 6.2.0 möglich, Session-Cookies von Benutzern abzugreifen, indem ein HTML-Formular in das Feld Remediation Step einer Event-Definition eingeschleust wird. Für einen erfolgreichen Angriff benötigt der Angreifer ein Benutzerkonto mit Berechtigung zum Anlegen von Event-Definitionen, während das Opfer Alerts einsehen können muss; zusätzlich muss auf dem Graylog-Server ein aktiver Input vorhanden sein, der Formulardaten entgegennehmen kann (z. B. HTTP-Input, TCP raw oder Syslog). CVSS-Basiswert: 8 (Hoch). Workarounds sind nicht bekannt. Empfohlene Massnahme: Aktualisierung auf Version 6.0.14, 6.1.10 bzw. 6.2.0.

Changelog

1. 2026-07-26 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Graylog

• Graylog Web Interface – Sitzungs-IDs werden nach erneuter Anmeldung nicht ungültig CVE-2026-1435
• CVE-2025-53106 – Rechteausweitung über API-Tokens in Graylog CVE-2025-53106
• Graylog – Ausführung beliebigen Codes über Klassen-Instanziierung CVE-2024-24824
• Graylog – Fehlende Berechtigungsprüfung im Event-Duplicate-Endpunkt CVE-2026-65011