CVE-2026-102989: Kritisches XSS ohne Authentifizierung in TanStack Start

CVE-2026-102989: Kritisches XSS ohne Authentifizierung in TanStack Start

Kurz gefasst

Es wurde eine kritische Schwachstelle veröffentlicht, identifiziert als CVE-2026-102989, mit einem CVSS-Wert von 9.3 von 10 [1], die Webanwendungen betrifft, die mit TanStack Start erstellt wurden. Der Fehler ermöglicht es einem Angreifer, ohne Zugangsdaten oder Benutzerkonto zu benötigen, die Anwendung dazu zu bringen, eine Seite mit manipuliertem Inhalt von der eigenen Unternehmensdomain zurückzugeben, was zu Datendiebstahl oder nicht autorisierten Aktionen im Namen des Opfers führen kann. Wenn Ihr Entwicklungsteam dieses Framework verwendet, lautet die unmittelbare Empfehlung, auf die korrigierten Versionen zu aktualisieren und zu überprüfen, welche Produktionsanwendungen es nutzen.

Was es ist und warum es wichtig ist

TanStack Start ist ein Framework zum Erstellen von Webanwendungen, die Client- und Server-Logik kombinieren, verfügbar in Varianten für React, Solid und Vue. Die Schwachstelle liegt in der Art und Weise, wie die „Server-Funktionen" (server functions) Anfragen verarbeiten: Ein Angreifer kann in die Anfrage Felder einfügen, die von außen nicht manipulierbar sein sollten, sodass der interne Zustand der Anwendung letztlich ein Objekt in Form einer HTTP-Antwort akzeptiert, als wäre es eine legitime Antwort [1]. Das praktische Ergebnis ist, dass eine speziell konstruierte URL dazu führen kann, dass die Anwendung vom Angreifer kontrolliertes HTML zurückgibt, einschließlich JavaScript-Code, der von der echten Domain des Unternehmens ausgeliefert wird.

Laut der Analyse des Teams von OCIRIA handelt es sich um eine reflektierte XSS-Injektion (cross-site scripting), die keine vorherige Authentifizierung durch den Angreifer erfordert, was sie besonders heikel macht: Es genügt, dass ein legitimer Nutzer auf einen manipulierten Link klickt, damit das Skript in seinem Browser ausgeführt wird, mit Zugriff auf Daten des gleichen Ursprungs (same origin) und der Fähigkeit, Anfragen mit der Identität dieser Person durchzuführen.

Die Schwachstelle wurde am 13. Oktober 2026 veröffentlicht [1] und ist gemäß den Kriterien von NVD als „kritisch" eingestuft [1]. Zum Zeitpunkt dieses Beitrags erscheint sie nicht im Katalog der aktiv ausgenutzten Schwachstellen (KEV) von CISA [2], was darauf hinweist, dass es keine öffentlich bestätigte massive Ausnutzung gibt, auch wenn sich dies ändern kann und nicht als Abwesenheit von Risiko interpretiert werden sollte.

Wen es betrifft

Das Problem betrifft die folgenden Pakete des TanStack-Start-Ökosystems, in den vor der Korrektur angegebenen Versionsbereichen [3]:

• @tanstack/start-server-core: von 1.143.12 bis 1.169.39
• @tanstack/react-start: bis 1.168.60
• @tanstack/solid-start: bis 1.168.57
• @tanstack/vue-start: bis 1.168.56

Jede Organisation, die eigene oder von Dritten entwickelte Webanwendungen besitzt, die auf einem dieser Pakete basieren, ist potenziell exponiert, unabhängig von der Unternehmensgröße oder Branche. Es handelt sich nicht um ein konkretes kommerzielles Produkt eines Anbieters, sondern um eine Komponente der Entwicklungsinfrastruktur, die in Kundenportale, Intranets, Verwaltungspanels oder mobile Anwendungen mit Web-Backend integriert sein kann.

Wie Sie feststellen, ob Sie betroffen sind

Der erste Schritt besteht darin, diejenigen zu fragen, die Ihre Webanwendungen entwickeln oder pflegen, ob sie TanStack Start verwenden, und falls ja, welche Version der betroffenen Pakete installiert ist. Die Überprüfung der Abhängigkeitsdatei (package.json oder der entsprechenden Lockfile) reicht in der Regel aus, um die genaue Version zu identifizieren.

Es ist auch empfehlenswert zu überprüfen, welche Anwendungen und Subdomains des Unternehmens öffentlich im Internet exponiert sind, da nicht immer das gesamte Inventar digitaler Assets aktuell dokumentiert ist, insbesondere in Organisationen mit mehreren Entwicklungsteams oder externen Anbietern. Die tatsächliche exponierte Angriffsfläche zu kennen, ist der Ausgangspunkt, um zu priorisieren, was zuerst überprüft werden muss.

Wie Sie sich schützen können

1. Identifizieren Sie, ob eine Unternehmensanwendung TanStack Start verwendet und in welcher Version.

2. Aktualisieren Sie so schnell wie möglich auf die korrigierten Versionen: @tanstack/start-server-core 1.169.39, @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57 oder @tanstack/vue-start 1.168.56, je nach verwendetem Paket [3].

3. Wenn Sie nicht sofort aktualisieren können, bitten Sie Ihr technisches Team oder Ihren Anbieter, als vorübergehende Maßnahme die Validierungslogik der Server-Funktionen zu überprüfen.

4. Überprüfen Sie die Produktionsanwendungen nach der Aktualisierung, um zu bestätigen, dass das Verhalten wie erwartet ist.

5. Überprüfen Sie regelmäßig, welche Technologien und Versionen Ihre exponierten Anwendungen verwenden, nicht nur bei einer punktuellen Warnung.

FAQ

Benötige ich ein Konto oder kompromittierte Zugangsdaten, um Opfer dieses Angriffs zu werden?

Nein. Der Fehler erfordert keine Authentifizierung durch den Angreifer, um die bösartige URL zu erstellen; das Opfer muss sie nur besuchen [1].

Wird diese Schwachstelle aktiv ausgenutzt?

Derzeit erscheint sie nicht im KEV-Katalog von CISA, der Schwachstellen mit bestätigter Ausnutzung erfasst [2]. Das garantiert nicht, dass sie in Zukunft nicht ausgenutzt wird, daher wird empfohlen, mit der gleichen Priorität wie bei jedem kritischen Fehler zu handeln.

Betrifft es nur Nutzer von React?

Nein. Es betrifft auch die Solid- und Vue-Varianten des Frameworks sowie das zentrale Server-Paket [3].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-102989
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://github.com/advisories/GHSA-qx66-fv34-fjm8