Onjuiste Neutralisatie van Input Tijdens Webpagina Generatie ('Cross-site Scripting') in coolercontrol-ui

Een succesvolle exploitatie van deze XSS-kwetsbaarheid kan leiden tot volledige overname van de coolercontrol-ui service. Aanvallers kunnen kwaadaardige scripts uitvoeren in de context van de gebruiker, waardoor ze toegang kunnen krijgen tot gevoelige informatie, sessiecookies kunnen stelen en mogelijk toegang kunnen krijgen tot onderliggende systemen. De impact is aanzienlijk, aangezien de kwetsbaarheid ongeauthenticeerde toegang toestaat, wat het risico op misbruik aanzienlijk verhoogt. Het is vergelijkbaar met andere XSS-aanvallen waarbij aanvallers de gebruikersinterface kunnen manipuleren om schadelijke acties uit te voeren.

Organizations using coolercontrol-ui in production environments, particularly those with publicly accessible log viewers, are at risk. Shared hosting environments where multiple users share the same coolercontrol-ui instance are also particularly vulnerable, as an attacker could potentially inject malicious log entries that affect other users.

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i '<script>' 

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'onerror='

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'javascript:'

1. 2026-04-08Disclosure

   disclosure

1. Gereserveerd2026-04-01
2. Gepubliceerd2026-04-08
3. EPSS bijgewerkt2026-04-16

De primaire mitigatie voor CVE-2026-5301 is het upgraden van coolercontrol-ui naar versie 4.0.0 of hoger, waar de kwetsbaarheid is verholpen. Als een directe upgrade niet mogelijk is, overweeg dan om de logviewer-functionaliteit tijdelijk uit te schakelen om het aanvalsoppervlak te verkleinen. Implementeer inputvalidatie en output encoding op alle logbestanden om te voorkomen dat kwaadaardige scripts worden opgeslagen. Configureer een Web Application Firewall (WAF) om XSS-aanvallen te detecteren en te blokkeren. Na de upgrade, controleer de logbestanden op tekenen van compromittering en bevestig dat de kwetsbaarheid is verholpen door te proberen een XSS-payload in te voeren in de logviewer.