Im Mai 2025 berichtete die Wagtail-Security-Community über ein kontrovers diskutiertes Thema: die vermeintliche Sicherheitslücke mit der Kennzeichnung CVE-2025-45388. Das Content-Management-System Wagtail, das sich seit Jahren einen soliden Ruf hinsichtlich Sicherheit und Zuverlässigkeit erarbeitet hat, wurde plötzlich in einem Sicherheitsbericht mit einer Cross-Site-Scripting (XSS)-Schwachstelle im Bereich der Dokumenten-Uploads konfrontiert. Die CVE-Nummer 2025-45388 erregte dabei große Aufmerksamkeit, doch schon bald stellte sich heraus, dass es sich dabei um ein sogenanntes „bogus CVE“, also um eine falsche oder unbegründete Sicherheitswarnung handelt. Um die Bedeutung und Tragweite dieses Vorfalls zu verstehen, lohnt sich ein Blick auf das Zusammenspiel von Sicherheitssystemen in Wagtail, modernen Browsern und dem Verfahren der CVE-Vergabe an sich.
Wagtail CMS ist eine Open-Source-Plattform zur Verwaltung von Inhalten, die durch professionelle Entwickler kontinuierlich gepflegt und verbessert wird. Gerade unter Sicherheitsaspekten nimmt das Team rund um Wagtail eine proaktive Haltung ein. Sicherheitslücken werden beim kleinsten Hinweis analysiert, dokumentiert und behoben. Daher war das plötzliche Auftauchen eines CVEs ohne offizielle Meldung oder Koordination mit dem Wagtail-Team ungewöhnlich und wurde mit Skepsis aufgenommen. Die beanstandete Schwachstelle bezog sich speziell auf das Hochladen von Dokumenten, wie PDFs. Dabei ging es um die Möglichkeit, in PDFs eingebettetes JavaScript auszuführen – eine Technik, die grundsätzlich potentiell gefährlich sein kann, wenn sie es Angreifern ermöglicht, schädlichen Code auf einem Benutzergerät auszuführen.
Der als Stored Cross-Site-Scripting beschriebene Angriff hieße, dass ein böswilliger Akteur eine manipulierte PDF-Datei hochlädt, die beim Öffnen in der Benutzeroberfläche des CMS ein schädliches Skript ausführt. Bei oberflächlicher Betrachtung klingt dies alarmierend und würde Sicherheitspraktiken in Frage stellen. Doch das Wagtail-Team reagierte umgehend mit einer tiefgehenden Analyse. Dabei zeigten sich zwei entscheidende Faktoren, die die Gefahrenlage relativieren. Zum einen schützt die Standardkonfiguration von Wagtail bereits vor den meisten Datei-Upload-Angriffen, indem potenziell gefährliche Dateitypen wie HTML standardmäßig ausgeschlossen werden. Zum anderen greifen moderne Browsermechanismen ein, die die Ausführung von in PDFs eingebetteten Skripten stark einschränken. Insbesondere Chromium-basierte Browser wie Google Chrome und Microsoft Edge sowie Mozilla Firefox führen JavaScript innerhalb von PDF-Dateien in einer stark abgeschotteten Sandbox aus.
Diese Umgebung beschränkt den Zugriff des Skripts auf keinerlei Browserressourcen wie Cookies, lokalen Speicher oder Netzwerkanfragen. Das skript selbst hat somit keine Möglichkeiten, Nutzerdaten zu stehlen oder andere schädliche Aktionen durchzuführen. Der Sandbox-Mechanismus stellt sicher, dass das Ausführen von Skripten innerhalb eines PDFs maximal auf das Laufzeitfenster dieses Dokuments begrenzt ist und damit keine systemweiten Schäden verursachen kann. Zusätzlich weisen Wagtail und die zugrundeliegenden Webserver standardmäßig Sicherheitsheader wie Content-Security-Policy auf, die verhindern, dass eingebettete Skripte in nahezu allen anderen Dateitypen aktiv werden können. Einzig der Umgang mit PDFs stellt eine Ausnahme dar, da Content-Security-Policy-Regelungen in Browsern keine Auswirkungen auf eingebettete JavaScript-Dateien in diesem Format haben.
Diese technischen Details führten zu einem Ergebnis, das viele überrascht hat: Die vermeintliche Sicherheitslücke ist gewährleistet durch die Schutzmechanismen der Browser nicht ausnutzbar. Für Menschen, die direkt im Browser PDFs anzeigen, besteht keinerlei Risiko, dass Schadcode ausgeführt wird, der über das PDF selbst hinausgeht. Wer die Datei herunterlädt und mit einem externen PDF-Viewer öffnet, ist ebenfalls auf dieses Programm angewiesen – moderne Reader nutzen in der Regel ebenfalls Sandboxing-Technologien, die ähnliche Schutzmaßnahmen bieten. Somit ist die Gefahr praktisch nicht gegeben. Wagtail bietet jedoch auch Möglichkeiten für Anwender und Administratoren, die ohnehin sehr vorsichtig mit Dateiuploads umgehen möchten. In den Einstellungen lässt sich festlegen, wie Dokumente behandelt werden: PDFs können zum Beispiel so konfiguriert werden, dass sie nicht direkt im Browser, sondern ausschließlich als Download angeboten werden.
Alternativ kann der Upload bestimmter Dateitypen auch komplett unterbunden werden. Diese Optionen dienen als zusätzliche Schutzebenen, falls Organisationen höchst vorsichtig agieren wollen. Die Entstehung dieses CVE selbst gibt Anlass zur Diskussion. Die Vergabe von CVE-Nummern erfolgt durch sogenannte Numbering Authorities, die unterschiedlich organisiert sind und teilweise sehr unterschiedliche Anforderungen bei der Annahme von Schwachstellen haben. Im Fall von CVE-2025-45388 wurden weder das Wagtail-Team noch der verantwortliche Entwickler kontaktiert, als die Nummer vergeben wurde. Dies führt dazu, dass Informationen, die den tatsächlichen technischen Hintergrund oder Gegenmaßnahmen betreffen, im CVE-Eintrag fehlen. Ein solches Vorgehen ist der Community und auch den maintainenden Entwicklerteams wenig dienlich und kann Schaden verursachen, obwohl keine echte Schwachstelle vorliegt. Solche „bogus CVEs“ sind kein Einzelfall.
Auch große Softwareprojekte wie curl oder PostgreSQL wurden in der Vergangenheit fälschlich mit Sicherheitslücken konfrontiert. Die Folge ist, dass automatische Sicherheitsscanner und Monitoring-Tools bei allen gängigen Anwendungen anschlagen, was dazu führen kann, dass Sicherheitsteams unnötig Ressourcen aufwenden oder Fehlalarmen nachgehen müssen. Vor diesem Hintergrund ruft das Wagtail-Team andere CVE-Numbering-Authorities dazu auf, den Prozess der Vergabe transparenter und koordiniert mit den ursprünglich Betroffenen zu gestalten, um die Integrität und Nützlichkeit des Systems zu erhöhen. Zusammenfassend lässt sich sagen, dass die Nachricht um CVE-2025-45388 vor allem eins gezeigt hat: Ein gutes Sicherheitsverständnis braucht nicht nur Kenntnisse über Software-Schutzmechanismen, sondern auch darüber, wie Bedrohungen von außen bewertet und kommuniziert werden.
Das Wagtail CMS bietet durch seine clever eingebauten Sicherungsmechanismen und sein engagiertes Sicherheitsteam derzeit keinen Grund zur Sorge bezüglich dieser angeblichen Sicherheitslücke. Für Anwender und Unternehmen ist es dennoch ratsam, die Empfehlungen des Wagtail-Teams umzusetzen. Die Einstellung zur Behandlung von PDF-Dateien entsprechend anzupassen oder Uploads nicht vertrauenswürdiger Dateitypen weiterhin zu vermeiden, trägt zur allgemeinen Absicherung bei. Zudem ist es sinnvoll, bei jeglichen Sicherheitswarnungen den Ursprung und die verifizierbaren Fakten zu prüfen, bevor Maßnahmen eingeleitet werden. Im Endeffekt hat dieser Vorfall deutlich gemacht, wie wichtig Zusammenarbeit und Transparenz in der Open-Source-Community sind. Die Entwickler rund um Wagtail werden weiterhin daran arbeiten, ihr CMS sicher, effizient und benutzerfreundlich zu gestalten.
Gleichzeitig zeigen sie damit, dass nicht jede vermeintliche Sicherheitslücke automatisch eine tatsächliche Bedrohung ist – insbesondere wenn moderne Browser und Anwendungssicherheit Hand in Hand arbeiten. Für die Zukunft wäre es wünschenswert, dass das CVE-System verbessert wird und Mechanismen implementiert werden, um falsche oder unbegründete Einträge besser zu verhindern oder zumindest schneller zurückzuziehen. Hierfür könnten Modelle inspiriert von anderen Sicherheitszertifikaten und Identifizierungsprozessen dienen. Bis dahin bleibt es wichtig, dass Anwender und Entwickler wachsam bleiben, aber auch die technischen Schutzschichten und die Wissenschaft hinter sicheren Web-Anwendungen verstehen und wertschätzen. Abschließend zeigt CVE-2025-45388, dass Sicherheit weder schwarz noch weiß ist, sondern ein facettenreiches Feld, in dem technische Expertise, Kommunikation und verantwortungsbewusstes Handeln zusammenspielen.
Wagtail CMS liefert ein Beispiel dafür, wie sich Risiken einschätzen lassen und warum Vertrauen in bewährte Sicherheitsmechanismen – ergänzt durch individuelle Vorsichtsmaßnahmen – heute mehr denn je gerechtfertigt ist.
