DeepWiki-Open: Nicht authentifiziertes Lesen beliebiger Dateien über Codemap-Endpunkt

Zusammenfassung

DeepWiki-Open, ein KI-Werkzeug zur Erstellung von Dokumentations-Wikis aus Code-Repositories, enthält im Endpunkt GET /codemap/file eine Schwachstelle, die das nicht authentifizierte Lesen beliebiger Dateien erlaubt. Durch die Übergabe eines Nicht-URL-Werts im Parameter repo_url kann ein Angreifer die Pfadprüfungen umgehen und mittels absoluter Dateipfade jede Datei lesen, auf die der API-Prozess zugreifen kann. Für den Angriff genügt Netzwerkzugriff auf den Dienst, Zugangsdaten sind nicht erforderlich. Die realistische Auswirkung ist die Offenlegung von Geheimnissen wie API-Schlüsseln, Dienstkontodateien oder Konfigurationen, die der Prozess verwaltet.

Betroffen

• deepwiki-open bis einschliesslich Commit d92819a (es werden keine Release-Versionen veröffentlicht; die Betroffenheit wird anhand des Commit-Hashs bestimmt)
• CVSS 4.0 Basisscore 8.7 (hoch), Vektor AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Behoben in

Unbekannt. Es wurde weder eine korrigierte Version noch ein korrigierter Commit veröffentlicht.

Umgehung

• Keine Workaround-Massnahme vom Hersteller dokumentiert.
• Zugriff auf den Dienst über VPN, internes Netzwerk oder IP-Allowlist beschränken.
• Einen Reverse Proxy mit Authentifizierung vor den Dienst schalten. Das Aktivieren des Auth-Modus des Projekts schützt nicht vor dieser Schwachstelle.

Ausnutzung

• Nicht in der CISA KEV-Liste; EPSS unter 1 %.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Kein öffentlicher Proof of Concept gefunden; der Status gilt als unbekannt und nicht als bestätigt nicht vorhanden.

Unsere Empfehlung

• Prüfen, ob eine DeepWiki-Open-Instanz aus dem Internet oder aus unsicheren Netzwerken erreichbar ist, und diese sofort vom Netz nehmen oder einschränken.
• Den Dienst in einem Container oder Konto ohne Zugriff auf Geheimnisse, Zugangsdaten oder andere Repositories betreiben.
• Web- und API-Logs auf Anfragen an /codemap/file prüfen.
• Bei vermuteter Exposition Zugangsdaten rotieren, die der Prozess lesen konnte.
• Das Projekt-Repository und Issue #590 auf eine Korrektur überwachen; spätere Commits nicht als behoben betrachten, bevor die Maintainer dies bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-103591 on OpenCVE app.opencve.io
• VulnCheck advisory www.vulncheck.com
• DeepWiki-Open issue #604 github.com
• DeepWiki-Open issue #536 github.com
• DeepWiki-Open security tab github.com
• DeepWiki-Open issue #590 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:24.