XSS über das Prompt-Modul in DNN

Beschreibung

DNN (früher DotNetNuke) ist eine quelloffene Web-Content-Management-Plattform im Microsoft-Ökosystem. Vor Version 10.1.0 erlaubt das Prompt-Modul die Ausführung von Befehlen, die rohes HTML zurückgeben können. Bösartige Eingaben können, selbst wenn sie für die Anzeige an anderer Stelle bereinigt wurden, bei der Verarbeitung durch bestimmte Befehle ausgeführt werden, was zu möglicher Skriptausführung (XSS) führt. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Update auf 10.1.0.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in DotNetNuke (DNN)

• DotNetNuke (DNN) – Remote Code Execution KEV CVE-2017-9822
• DotNetNuke (DNN) – Inadequate Encryption Strength KEV CVE-2018-15811
• DotNetNuke (DNN) Inadequate Encryption Strength KEV CVE-2018-18325
• DNN (DotNetNuke) – Unauthentifizierter Datei-Upload im Standard-HTML-Editor CVE-2025-64095
• Script-Ausführung über Modul-Titel (Richtext) in DNN CVE-2026-24838
• DNN (DotNetNuke) – Preisgabe von NTLM-Hashes an fremden SMB-Server CVE-2025-52488