dbgate-web: Stored XSS in applicationIcon leads to potential RCE in Electron due to unsafe renderer configuration

CVE-2026-34725 betrifft DbGate und weist eine gespeicherte Cross-Site Scripting (XSS)-Schwachstelle auf. Dieser Fehler entsteht durch die Art und Weise, wie DbGate SVG-Icon-Strings verarbeitet. Die Software rendert diese Strings direkt als HTML, ohne eine ordnungsgemäße Bereinigung, was es einem Angreifer ermöglicht, bösartigen Code einzuschleusen. In der Web-UI kann dies zur Ausführung von Skripten im Browser eines anderen Benutzers führen. Kritischerweise kann diese Schwachstelle in der Electron-Desktop-Anwendung aufgrund der Konfiguration von nodeIntegration: true und contextIsolation: false ausgenutzt werden, um eine lokale Codeausführung zu erreichen, wodurch die Systemsicherheit gefährdet wird.

Organizations using DbGate for database management, particularly those deploying the Electron desktop application, are at risk. Shared hosting environments where multiple users share a single DbGate instance are especially vulnerable, as an attacker could potentially compromise other users' accounts. Users relying on legacy DbGate configurations with less stringent security controls are also at higher risk.

• nodejs / desktop: Monitor DbGate Electron app processes for unusual network activity or unexpected file modifications. Use process monitoring tools to detect any suspicious child processes spawned by DbGate.

Get-Process dbgate | Select-Object ProcessName, Id, CPU, WorkingSet

• generic web: Examine DbGate web server access logs for requests containing SVG content with potentially malicious attributes. Look for patterns like <svg onload= or <svg onmouseover=.

grep '<svg onload=' /var/log/apache2/access.log

• generic web: Check response headers for unexpected content-type values when rendering SVG icons. A properly sanitized SVG should be served with a image/svg+xml content type.

curl -I https://your-dbgate-instance/icons/malicious.svg | grep Content-Type

1. 2026-04-01Disclosure

   disclosure

1. Reserviert2026-03-30
2. Veröffentlicht2026-04-01
3. Geändert2026-04-06
4. EPSS aktualisiert2026-04-10

Die primäre Abhilfemaßnahme für CVE-2026-34725 ist das Upgrade auf DbGate Version 7.1.5 oder höher. Diese Version enthält eine Korrektur, die SVG-Icon-Strings bereinigt, bevor sie gerendert werden, wodurch die Einschleusung von bösartigem Code verhindert wird. Überprüfen Sie außerdem die Sicherheitsrichtlinien der Electron-Anwendung, insbesondere die Konfiguration von nodeIntegration und contextIsolation. Das Deaktivieren von nodeIntegration und das Aktivieren von contextIsolation kann das Risiko einer lokalen Codeausführung erheblich reduzieren, falls die Schwachstelle ausgenutzt wird. Die Implementierung von Sicherheitsmaßnahmen in der Tiefe und die Überwachung der Anwendungsaktivität werden ebenfalls empfohlen.