Ghost/Strapi/Sitecore/Kentico/Plone

In Ghost (Node.js-CMS) ermöglichen die Versionen 3.24.0 bis 6.19.0 nicht authentifizierten Angreifern beliebige Lesezugriffe auf die Datenbank. Das Problem wurde in Version 6.19.1 behoben. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 56.7 %. Empfohlene Massnahme: Update auf Ghost 6.19.1 oder höher. Laut einem manuell erfassten Hinweis (reddit:r/threatintel) wurde ein Exploit für diese Lücke auf einem offen zugänglichen Staging-Server in Singapur entdeckt – zusammen mit einem AdaptixC2-Server und nach Ländern und Sektoren geordneten Ziellisten über elf Länder, konzentriert auf Regierung, Universitäten, Gesundheitswesen und Finanzsektor.

Ghost ist ein Content-Management-System auf Node.js-Basis. In Versionen vor 6.37.0 kann ein nicht authentifizierter Angreifer die Schwachstelle ausnutzen, wenn Ghost hinter einer gemeinsam genutzten Caching-Schicht betrieben wird, sodass zwischengespeicherte Inhalte zwischen verschiedenen Besuchern geteilt werden. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Ghost 6.37.0 oder neuer aktualisieren.

In Sitecore Experience Manager (XM) und Sitecore Experience Platform (XP) erlaubt die Verwendung extern kontrollierter Eingaben zur Auswahl von Klassen oder Code (Unsafe Reflection) ein Cache Poisoning. Betroffen sind Experience Manager (XM) von 9.0 bis 9.3 und von 10.0 bis 10.4 sowie Experience Platform (XP) von 9.0 bis 9.3 und von 10.0 bis 10.4. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Eine unsachgemässe Kontrolle des Dateinamens bei Include-/Require-Anweisungen in einem PHP-Programm (PHP Remote File Inclusion) in John Darrel Hide My WP Ghost hide-my-wp erlaubt PHP Local File Inclusion. Betroffen ist Hide My WP Ghost von n/a bis einschliesslich 5.4.01. CVSS-Basiswert: 9.6 (Kritisch).

Ghost bis Version 5.85.1 erlaubt laut NVD entfernten Angreifern, einen Schutzmechanismus gegen Authentifizierungs-Rate-Limits zu umgehen, indem viele X-Forwarded-For-Header mit unterschiedlichen Werten verwendet werden. Der Hersteller vertritt die Position, dass Ghost hinter einem Reverse-Proxy betrieben werden sollte, der nur vertrauenswürdige X-Forwarded-For-Header zulässt. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: einen Reverse-Proxy mit vertrauenswürdiger Header-Behandlung vorschalten.

Ghost bis Version 5.76.0 erlaubt gespeichertes Cross-Site-Scripting und in der Folge eine Rechteausweitung, bei der ein Contributor beliebige Konten übernehmen kann: über ein SVG-Profilbild mit eingebettetem JavaScript, das mit der API auf localhost TCP-Port 3001 interagiert. Der Hersteller stuft dies laut Meldung nicht als gültigen Angriffsvektor ein. CVSS-Basiswert: 9.0 (Kritisch).

Das Plone Docker Official Image 5.2.13 (5221) kann eine Remotecodeausführung ermöglichen, weil ein in ++plone++static/components gelistetes Paket im öffentlichen npm-Paketindex nicht existiert. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

In Kentico Xperience erlaubt eine Schwachstelle in der Zugriffskontrolle Administratoren, die Rechte globaler Administrator-Konten über nicht autorisierte Anfragen zu verändern. Angreifer können dadurch globale Administrator-Konten kompromittieren und sicherheitsrelevante Makros durch Manipulation der Nutzerrechtestufen ausser Kraft setzen. CVSS-Basiswert: 7.2 (Hoch).

In Strapi (Open-Source-Headless-CMS) besteht in den Versionen der 4.x-Linie vor 4.26.1 und der 5.x-Linie vor 5.33.2 eine Datenbankabfrage-Injection-Schwachstelle. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Ein Update auf die jeweiligen gepatchten Versionen wird empfohlen.

In Strapi (Versionen ab 4.0.0 und vor 5.37.0) wurden Query-Parameter beim Filtern von Inhalten über relationale Felder nicht ausreichend bereinigt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Ein Update auf Version 5.37.0 oder höher wird empfohlen.

In Ghost, einem Node.js-basierten Content-Management-System, können speziell präparierte bösartige Themes von Version 0.7.2 bis 6.19.0 zur Ausführung beliebigen Codes auf dem Server führen. Das Problem wurde in einer neueren Version behoben. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Ghost, einem Node.js-basierten Content-Management-System, ermöglichen unvollständige CSRF-Schutzmassnahmen rund um den Endpunkt /session/verify von Version 5.101.6 bis 6.19.2 den Missbrauch von Einmalcodes (OTCs) in anderen Login-Sitzungen als der ursprünglichen Anfrage. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Die Mobile App (APK v5.5.0) für den Ghost-Robotics-Roboter Vision 60 verzichtet laut NVD und ENISA-EUVD auf Authentifizierung. Ein unauthentifizierter Angreifer, der mit dem internen WLAN des Geräts verbunden ist, kann dadurch unbeschränkten Zugriff erlangen. CVSS-Basiswert: 8.7 (Hoch).

Im Vision-60-Roboter von Ghost Robotics (APK v5.5.0) fehlen kryptografische Mechanismen zur Sicherstellung von Integrität und Authentizität der Kommunikation, wodurch das System Man-in-the-Middle-Angriffen ausgesetzt ist. CVSS-Basiswert: 8.7 (Hoch).

In der mobilen App (APK-Version 5.5.0) für den Vision-60-Roboter von Ghost Robotics ermöglicht ein Zugriffskontrollproblem mehrere gleichzeitige Sitzungen, ohne dass eine ordnungsgemässe Client-Validierung oder Sitzungsintegritätsprüfung erfolgt. CVSS-Basiswert: 7.7 (Hoch).

Das WordPress-Plugin Hide My WP Ghost weist bis einschliesslich Version 7.0.06 eine fehlerhafte Authentifizierungsprüfung auf, die von Benutzern mit Subscriber-Rolle ausgenutzt werden kann. CVSS-Basiswert: 7.4 (Hoch).

In Ghost (Versionen 5.43.0 bis 5.12.04 sowie 6.0.0 bis 6.14.0) konnte ein Angreifer einen präparierten Link erstellen, der beim Aufruf durch einen authentifizierten Staff-Nutzer oder ein Mitglied JavaScript mit dessen Rechten ausführte und so zur Kontoübernahme führen konnte. Betroffen war auch Ghost Portal (2.29.1 bis 2.51.4 sowie 2.52.0 bis 2.57.0). CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Ghost 5.121.0 bzw. 6.15.0 oder neuer.

Ghost ist ein Node.js-Content-Management-System. In den Versionen 5.105.0 bis 5.130.5 und 6.0.0 bis 6.10.3 erlaubt eine Schwachstelle im 2FA-Mechanismus von Ghost Mitarbeiter-Benutzern, die E-Mail-2FA zu überspringen. Das Problem wurde in den Versionen 5.130.6 und 6.11.0 behoben. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf 5.130.6 bzw. 6.11.0.

Im Node.js-Content-Management-System Ghost erlaubt in den Versionen 5.121.0 bis 5.130.5 und 6.0.0 bis 6.10.3 die Behandlung der Staff-Token-Authentifizierung den Zugriff auf Endpunkte, die eigentlich nur per Staff-Session-Authentifizierung erreichbar sein sollten. Externe Systeme, die per Staff Token für Nutzer mit Admin- oder Owner-Rolle authentifiziert wurden, hätten so Zugriff auf diese Endpunkte gehabt. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

In Kentico Xperience erlaubt eine Schwachstelle beim uneingeschränkten Dateiupload authentifizierten Nutzern mit der Berechtigung Read data das Hochladen beliebiger Dateitypen über die MVC-Formular-Datei-Uploader-Komponenten. Angreifer können Dateinamen manipulieren und potenziell schädliche Dateien hochladen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine nicht betroffene Version.

In Kentico Xperience besteht eine SQL-Injection-Schwachstelle. Authentifizierte Redakteure können über die Parameter von Online-Marketing-Makromethoden bösartige SQL-Abfragen einschleusen. Dies ermöglicht unautorisierten Datenbankzugriff und potenzielle Datenmanipulation, da die Eingabevalidierung der Makromethoden fehlerhaft ist. CVSS-Basiswert: 8.8 (Hoch).

Eine Denial-of-Service-Schwachstelle in Kentico Xperience erlaubt es Angreifern laut NVD, mittels speziell präparierter Anfragen an den GetResource-Handler DoS-Angriffe auszulösen. Unzureichende Eingabevalidierung ermöglicht es entfernten Angreifern, die Dienstverfügbarkeit durch böswillig konstruierte Anfragen zu stören. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

In Kentico Xperience können Angreifer über Fehlermeldungen der Portal-Engine-Formularsteuerelemente sensible Stacktrace-Details einsehen. Die detaillierten Fehlermeldungen können interne Systeminformationen offenlegen und potenziell Implementierungsdetails gegenüber unautorisierten Nutzern preisgeben. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In Kentico Xperience besteht eine Kryptografie-Schwachstelle, die es Angreifern ermöglicht, URL-Hash-Werte über bestehende Hashing-Mechanismen zu manipulieren. Der verfügbare Hotfix führt eine zusätzliche Sicherheitsschicht ein, um die Wiederverwendung von Hash-Werten und die damit verbundene Ausnutzung zu verhindern. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: den Hotfix von Kentico einspielen.

Strapi, ein Open-Source-Headless-CMS, bereinigt in den Versionen ab 5.0.0 bis vor 5.5.2 die Abfrageparameter des lookup-Operators des Document Service nicht ordnungsgemäss für private Felder. Ein Angreifer kann durch präparierte Abfragen mit dem lookup-Parameter auf private Felder zugreifen, darunter Admin-Passwörter und Reset-Tokens. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 5.5.2 oder neuer.

In Sitecore Experience Manager (XM) und Experience Platform (XP) erlaubt eine Deserialisierung nicht vertrauenswürdiger Daten die Ausführung von Remote-Code. Betroffen sind XM und XP jeweils von Version 9.0 bis 9.3 sowie von 10.0 bis 10.4. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Sicherheitsupdate von Sitecore einspielen.

In Sitecore Experience Manager (XM) und Sitecore Experience Platform (XP) besteht laut NVD eine Schwachstelle, durch die sensible Informationen gegenüber nicht autorisierten Akteuren offengelegt werden können (Exposure of Sensitive Information to an Unauthorized Actor). Betroffen sind XM in den Versionen 9.2 bis 10.4 sowie XP in den Versionen 9.2 bis 10.4. CVSS-Basiswert: 7.5 (Hoch).

Sitecore Experience Manager (XM), Experience Platform (XP) und Experience Commerce (XC) in den Versionen 9.0 bis 9.3 sowie 10.0 bis 10.4 sind von einer Zip-Slip-Schwachstelle betroffen. Ein entfernter, authentifizierter Angreifer kann über eine präparierte HTTP-Anfrage ein ZIP-Archiv mit Path-Traversal-Sequenzen hochladen. Dadurch lassen sich beliebige Dateien schreiben, was zur Codeausführung führen kann. CVSS-Basiswert: 8.8 (Hoch).

Sitecore PowerShell Extensions, ein Add-on für Sitecore Experience Manager (XM) und Experience Platform (XP), ist bis einschliesslich Version 7.0 für einen uneingeschränkten Datei-Upload anfällig. Ein entfernter, authentifizierter Angreifer kann über präparierte HTTP-Anfragen beliebige Dateien hochladen und dadurch Remote Code Execution erreichen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine Version oberhalb von 7.0 aktualisieren.

Sitecore Experience Manager (XM) und Experience Platform (XP) enthalten in mehreren Versionsbereichen (10.1 bis 10.1.4 rev. 011974 PRE, alle 10.2-Versionen, 10.3 bis 10.3.3 rev. 011967 PRE sowie 10.4 bis 10.4.1 rev. 011941 PRE) ein hartcodiertes Benutzerkonto. Nicht authentifizierte, entfernte Angreifer können dieses Konto nutzen, um über HTTP auf die administrative API zuzugreifen. CVSS-Basiswert: 7.5 (Hoch).

Kentico Xperience vor Version 13.0.178 beschränkt unauthentifizierte Uploads über den ContentUploader auf eine festgelegte Menge erlaubter Dateiendungen. Da ZIP-Dateien jedoch über TryZipProviderSafe verarbeitet werden, existiert eine zusätzliche Funktionalität, mit der Dateien mit anderen Endungen erzeugt werden können. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 13.0.178 oder neuer.

Das WordPress-Plugin WP Ghost (Hide My WP Ghost) – Security & Firewall ist laut NVD-Eintrag in allen Versionen bis einschliesslich 5.4.01 über die Funktion showFile anfällig für Path Traversal. Nicht authentifizierte Angreifer können dadurch den Inhalt bestimmter Dateitypen auf dem Server lesen, was sensible Informationen preisgeben kann. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

In Sitecore Experience Platform (XP), Experience Manager (XM) und Experience Commerce (XC) von Version 8.0 Initial Release bis 10.4 Initial Release besteht eine Schwachstelle, über die ein nicht authentifizierter Angreifer beliebige Dateien lesen kann. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt nicht vor, die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Das WordPress-Plugin Hide My WP Ghost vor Version 5.2.02 verhindert Weiterleitungen zur Login-Seite über die WordPress-Funktion auth_redirect nicht. Dadurch kann ein nicht authentifizierter Besucher auf die eigentlich versteckte Login-Seite zugreifen. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Update auf Version 5.2.02.

In Strapi v4.24.4 besteht eine Server-Side Request Forgery (SSRF) in der Komponente /strapi.io/_next/image. Angreifer können darüber offene Ports scannen oder über eine präparierte GET-Anfrage auf sensible Informationen zugreifen. Die Strapi-Entwicklergemeinschaft bestreitet die Gültigkeit des Eintrags und sieht kein reales SSRF-Risiko für Anwendungen, die die Strapi-Bibliothek einsetzen. CVSS-Basiswert: 8.6 (Hoch).

Strapi ist ein Open-Source-Content-Management-System. Durch die Kombination zweier Schwachstellen – eines Open Redirect und der Übertragung des Session-Tokens als URL-Query-Parameter – in @strapi/plugin-users-permissions vor Version 4.24.2 kann ein nicht authentifizierter Angreifer die Authentifizierung umgehen und Tokens Dritter abrufen. Der Angriff erfordert eine Benutzerinteraktion (ein Klick). CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: @strapi/plugin-users-permissions auf Version 4.24.2 aktualisieren.

Ghost vor Version 5.82.0 ermöglicht eine CSV-Injection während des CSV-Exports von Mitgliederdaten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Ghost 5.82.0 oder neuer.

In Plone Version 6.0.9 besteht laut NVD eine fehlerhafte Zugriffskontrolle. Nicht authentifizierte Angreifer können durch eine präparierte Anfrage alle auf der Website gehosteten Dateien einsehen und auflisten. CVSS-Basiswert: 7.5 (Hoch).

In der offiziellen Plone-Docker-Version 5.2.13 (5221) sind laut NVD die HTTP-Methoden PUT und DELETE aktiviert. Dadurch können nicht authentifizierte Angreifer Dateien auf den Server hochladen oder dort vorhandene Dateien löschen. CVSS-Basiswert: 7.5 (Hoch).

Strapi, ein Open-Source Headless-CMS, beschränkt in Versionen vor 4.13.1 den Schreibzugriff auf als privat markierte Felder im Benutzer-Registrierungs-Endpunkt nicht ausreichend. Dadurch können böswillige Nutzer ihre eigenen Benutzerdatensätze unrechtmässig verändern. Workarounds sind laut Quelle nicht bekannt. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 4.13.1 oder neuer einspielen.

plone.rest erlaubt in Plone die Verwendung von HTTP-Verben wie GET, POST, PUT und DELETE. Wird der ++api++-Traverser in einer URL mehrfach verschachtelt aufgerufen, steigt die Verarbeitungszeit zunehmend an, wodurch der Server weniger reaktionsfähig wird (Denial of Service). Betroffen ist die 2.x-Reihe vor den Versionen 2.0.1 und 3.0.1; die 1.x-Reihe ist nicht betroffen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf plone.rest 2.0.1 oder 3.0.1, alternativ als Workaround eine Umleitung von /++api++/++api++ auf /++api++ im Frontend-Webserver einrichten.

Strapi, das quelloffene Headless-CMS, begrenzt Login-Versuche am Admin-Bildschirm vor Version 4.12.1 zwar per Rate Limit, dieses lässt sich aber umgehen. Dadurch steigt das Risiko einer unautorisierten Anmeldung per Brute-Force-Angriff. Version 4.12.1 behebt das Problem. CVSS-Basiswert: 7.3 (Hoch). Zugeordnet ist die Schwachstelle dem Herstellerverbund Ghost/Strapi/Sitecore/Kentico/Plone. Empfohlene Massnahme: Aktualisierung auf Strapi 4.12.1 oder neuer.