CVE-2026-75626: XSS-sårbarhed i SpiderFoot
SpiderFoot kan snydes til at køre skadelig kode i operatørens browser via manipulerede scandata. Opdatér eller afskærm systemet.
Hvad er det?
CVE-2026-75626 er en sårbarhed i SpiderFoot, et open source værktøj til automatiseret OSINT-indsamling (opsamling af offentligt tilgængelig information om mål). Fejlen ligger i, hvordan SpiderFoot bygger titler til korrelationer, det vil sige sammenkædninger af fund fra en scanning. Titlerne dannes ud fra data hentet fra eksterne kilder, blandt andet serverbannere og metadata, uden at koden bliver renset for HTML. En angriber kan derfor placere skadelig HTML og script i data, som et scannet mål udsender. Når en operatør senere åbner korrelationsvisningen i SpiderFoot, kører scriptet i operatørens browser.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører SpiderFoot til efterretningsindsamling, herunder sikkerhedsafdelinger, konsulenthuse og MSSP’er, der bruger værktøjet i kundeopgaver. Alle installationer, der endnu ikke har fået rettet koden til at HTML-escape korrelationstitler, er berørt. NVD-data angiver ikke en specifik version, derfor bør alle SpiderFoot-installationer kontrolleres.
Hvad kan ske?
En angriber kan indrette en server eller anden ressource, som SpiderFoot scanner, så bannere eller metadata indeholder skadelig kode. Når en dansk sikkerhedskonsulent eller intern IT-medarbejder åbner korrelationsresultaterne i SpiderFoot, kører koden i browseren med adgang til den session, konsulenten er logget ind med. Det kan bruges til at stjæle API-nøgler, som SpiderFoot bruger til at tilgå tjenester som Shodan eller VirusTotal, og dermed give angriberen adgang til yderligere systemer og data.
Hvor alvorligt er det?
CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ikke adgangskode og kan udføres over netværket, men det kræver, at operatøren selv åbner korrelationsvisningen efter en scanning, altså en brugerhandling. Fordi angrebet kan påvirke andre komponenter end selve SpiderFoot, for eksempel gemte API-nøgler til eksterne tjenester, er konsekvensen for fortrolighed og integritet høj, mens tilgængelighed ikke er påvirket. Der er ikke oplysninger om aktiv udnyttelse eller offentlig kodedemonstration på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse skaden, mens I venter på en rettelse:
- Opdatér SpiderFoot til den nyeste version, så snart leverandøren udgiver en rettelse, der HTML-escaper korrelationstitler.
- Indtil da, vær forsigtig med at scanne ukendte eller mistænkelige mål, og undlad at åbne korrelationsvisningen for scanninger af mål, I ikke har fuld tillid til.
- Placér SpiderFoots webinterface bag VPN eller anden adgangsbegrænsning, så kun betroede medarbejdere kan nå det.
- Roter API-nøgler, der er gemt i eller tilgængelige fra SpiderFoot, hvis I har åbnet korrelationsresultater fra scanninger af eksterne, ukendte mål.
- Søg hjælp hos os eller en anden sikkerhedsrådgiver, hvis I ikke kan vurdere, om jeres opsætning er eksponeret, eller hvis I mangler ressourcer til at overvåge og opdatere SpiderFoot løbende.
Opdatér inden for 14 dage
Vi anbefaler, at I holder øje med SpiderFoots officielle kanaler for en rettelse og opdaterer, så snart den er tilgængelig. Indtil da bør I begrænse adgangen til SpiderFoots webinterface og undgå at åbne korrelationsresultater fra scanninger af utroværdige mål. Det er acceptabelt at vente med selve opdateringen, hvis I i mellemtiden har afskærmet systemet fra internettet og begrænset, hvem der kan åbne korrelationsvisninger.
Tidslinje
Konkrete eksempler
Sikkerhedskonsulent scanner kundens infrastruktur
En dansk sikkerhedskonsulent bruger SpiderFoot til at kortlægge en kundes eksterne overflade og scanner blandt andet en server, som en angriber har forberedt med et manipuleret serverbanner. Da konsulenten åbner korrelationsvisningen for at gennemgå resultaterne, udføres skadeligt script i browseren og sender konsulentens gemte API-nøgler til tjenester som Shodan videre til angriberen. Angriberen kan derefter misbruge disse nøgler til at få adgang til yderligere data eller tjenester, konsulenten har rettigheder til.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af SpiderFoot?
Tjek den version af SpiderFoot, I kører, og sammenhold den med leverandørens ændringslog eller GitHub-repository for oplysninger om, hvornår rettelsen til korrelationstitler blev udgivet. Er I i tvivl, bør I antage, at installationen er sårbar, til det modsatte er bekræftet.
Kan vi vente til efter weekenden med at reagere?
Ja, hvis I i mellemtiden lukker adgangen til SpiderFoots webinterface for uvedkommende og undgår at åbne korrelationsresultater fra scanninger af eksterne, ukendte mål. Er systemet allerede eksponeret på internettet uden begrænsning, bør I reagere før weekenden.
Er vi ramt, hvis vi kun bruger SpiderFoot til interne scanninger?
Risikoen er lavere, men ikke nul, da interne systemer også kan indeholde manipulerede bannere eller metadata, hvis de allerede er kompromitteret. Sårbarheden er mest relevant, når SpiderFoot scanner eksterne eller ukendte mål.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer, at API-nøgler eller andre personoplysninger reelt er blevet stjålet og misbrugt som følge af sårbarheden. Uden tegn på faktisk udnyttelse og datatab er der ikke grundlag for en anmeldelse.
Hvad er en korrelationsvisning i SpiderFoot?
Det er den del af brugerinterfacet, hvor SpiderFoot samler og viser sammenhænge mellem fund fra en scanning, for eksempel forbindelser mellem domæner, IP-adresser og tjenester. Det er her, den skadelige kode udføres, når titlerne indeholder ikke-renset HTML.
Hvordan beskytter vi vores API-nøgler bedst muligt lige nu?
Undgå at gemme API-nøgler direkte i browseren eller i SpiderFoots konfiguration, hvor de kan læses af skadelig kode, og overvej at rotere nøglerne, hvis I har åbnet korrelationsresultater fra usikre scanninger.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SpiderFoot fails to HTML-escape correlation titles built from external scan data sources including server banners and metadata. Attackers can inject malicious HTML elements with event handlers into correlation results that execute scripts in the operator’s browser when the correlations view is opened, potentially stealing API keys.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.