CVE-2026-22674: Lagret XSS i Hashgraph Guardian
Fejl i Hashgraph Guardian tillader lagret scriptangreb via firmanavn-felt. Opdatér til rettet version med commit ba8c566.
Hvad er det?
CVE-2026-22674 er en sårbarhed i Hashgraph Guardian, en platform til at spore og verificere miljø- og klimadata. Fejlen findes i den funktion, der styrer virksomhedens branding, altså logo og navn i brugerfladen. En bruger med den høje rettighed STANDARD_REGISTRY kan indsætte skadelig kode i feltet companyName. Koden bliver gemt på serveren og køres automatisk i browseren hos alle andre brugere, hver gang de indlæser en side. Dette kaldes lagret cross-site scripting: skadeligt script, der gemmes permanent i systemet og udføres hos alle, der besøger siden, i modsætning til et engangsangreb.
Hvem rammer det?
Det rammer organisationer, der kører Hashgraph Guardian i version op til og med 3.5.0, herunder virksomheder og myndigheder, der bruger platformen til rapportering af klima- og miljødata. Sårbarheden er relevant for alle installationer, hvor mere end én bruger har adgang, og hvor mindst en enkelt konto har rollen STANDARD_REGISTRY, altså den overordnede administratorrolle i systemet.
Hvad kan ske?
En bruger med administratorrettigheder, eller en angriber der har overtaget en sådan konto, kan indsætte kode, der stjæler sessionsoplysninger, omdirigerer andre brugere til falske login-sider eller ændrer indholdet, alle andre ser i systemet. Fordi koden ligger i brandingen, bliver den vist på stort set alle sider, og den rammer derfor alle brugere, ikke kun den, der satte angrebet i gang.
Hvor alvorligt er det?
CVSS-score er 4,8 ud af 10, moderat risiko. Angrebet kræver, at man allerede er logget ind med høje rettigheder (STANDARD_REGISTRY), og at en anden bruger interagerer med systemet, for eksempel indlæser en side. Angriberen behøver ikke fysisk adgang og kan udføre angrebet over netværket, men den høje adgangskrav gør, at sårbarheden primært er relevant, hvis en administratorkonto allerede er kompromitteret, eller hvis man ikke har styr på, hvem der har den rolle internt. Der er ingen tegn på, at sårbarheden er udnyttet i praksis.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer.
- Opdatér Hashgraph Guardian til en version, der indeholder rettelsen fra commit ba8c566, eller nyere.
- Gennemgå, hvilke konti der har rollen STANDARD_REGISTRY, og fjern rollen fra konti, der ikke har brug for den.
- Kontrollér feltet companyName i brandingopsætningen for tegn på indsat kode eller uventet HTML.
- Aktivér to-faktor login på konti med STANDARD_REGISTRY-rollen, hvis det ikke allerede er sat op.
- Hvis I ikke selv kan verificere, om jeres installation er ramt, eller om der allerede er indsat skadelig kode, bør I få en ekstern gennemgang af systemet.
Opdatér ved næste planlagte vindue
Vi anbefaler, at I opdaterer Hashgraph Guardian til den rettede version og samtidig strammer op på, hvem der har rollen STANDARD_REGISTRY. Da udnyttelse kræver høje rettigheder og en anden brugers medvirken, og der ikke er set aktivt misbrug, er det acceptabelt at vente til jeres næste ordinære opdateringsvindue, forudsat at I i mellemtiden begrænser antallen af administratorkonti.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto hos dansk rapporteringspartner
En dansk virksomhed, der bruger Hashgraph Guardian til at dokumentere klimadata for kunder, oplever, at en administratorkonto bliver kapret via et separat phishing-angreb. Angriberen bruger den overtagne konto til at indsætte skadelig kode i firmanavnfeltet, så alle medarbejdere, der efterfølgende logger ind, får deres session stjålet. Fordi koden ligger i brandingen, spreder angrebet sig til alle brugere uden yderligere handling fra angriberen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres organisation kører Hashgraph Guardian i version 3.5.0 eller ældre, og der findes mindst en bruger med rollen STANDARD_REGISTRY.
Hvordan tjekker vi, om vores system allerede er udnyttet?
Gennemgå feltet companyName i brandingopsætningen for uventet HTML eller script-tags, og se logs for ændringer foretaget af STANDARD_REGISTRY-konti, som ikke stemmer med kendte administrative handlinger.
Kan vi vente til weekenden med at opdatere?
Ja, det er forsvarligt, da angrebet kræver, at en administratorkonto allerede er kompromitteret, og der ikke er set aktivt misbrug. Vi anbefaler dog at gennemgå administratorroller allerede nu.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata er blevet kompromitteret som følge af det. Uden konkrete tegn på misbrug er der ikke grundlag for en anmeldelse.
Hvem kan udnytte denne sårbarhed?
Kun en bruger med rollen STANDARD_REGISTRY, som er den højeste administratorrolle i Guardian. Det gør risikoen afhængig af, hvor godt I styrer og beskytter jeres administratorkonti.
Hvad gør vi, hvis vi ikke selv driver Hashgraph Guardian-installationen?
Kontakt jeres leverandør eller driftspartner og bed dem bekræfte, at den rettede version med commit ba8c566 er installeret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Hashgraph Guardian through 3.5.0, fixed in commit ba8c566, contains a stored cross-site scripting vulnerability that allows authenticated users with the STANDARD_REGISTRY role to inject malicious scripts by submitting a crafted companyName value via the branding configuration API endpoint. Attackers can exploit the unsanitized innerHTML assignment in the branding service to execute arbitrary JavaScript in the browser of every authenticated user on every page load.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.