image-downloader: Path Traversal ermöglicht Schreibzugriffe ausserhalb des Zielverzeichnisses

Zusammenfassung

Die Node.js-Bibliothek image-downloader in Version 4.3.0 und laut CNA auch in früheren Versionen erlaubt das Schreiben von Dateien ausserhalb des konfigurierten Zielverzeichnisses. Werden Dateinamen aus dem URL-Pfad abgeleitet, kann ein kodiertes Verzeichnis-Element in der URL die heruntergeladenen Antwortdaten an einen anderen Ort umleiten. Ein Angreifer kann dies ausnutzen, wenn die Anwendung URLs verarbeitet, die er beeinflussen kann, und der Prozess Schreibrechte auf den Zielort hat. Die CNA bewertet die Schwachstelle mit CVSS 9.1 (Critical), die Auswirkung hängt jedoch von der Anwendung und den Dateisystemberechtigungen ab.

Betroffen

• image-downloader 4.3.0 (in der CVE-Beschreibung genannt)
• Laut CNA: alle Versionen unterhalb von 4.3.1 (Standard: unbekannt)
• OSV nennt zusätzlich 4.0.3 als betroffen (noch nicht verifiziert)

Behoben in

• Version 4.3.1 (laut CNA und dem npm-Profil des Maintainers)

Umgehung

• Keine offizielle Umgehungsmassnahme bekannt.
• Übergangsmassnahmen bis zum Update: Benutzerdefinierte URLs nicht an die Download-Funktion übergeben, nur vertrauenswürdige URLs zulassen und die Schreibrechte des herunterladenden Prozesses auf das eigene Bildverzeichnis beschränken.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung in freier Wildbahn.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• Nicht im CISA-KEV-Katalog aufgeführt. Ein öffentlicher Proof of Concept existiert.

Unsere Empfehlung

• Alle Projekte finden, die image-downloader verwenden, einschliesslich transitiver Abhängigkeiten in package.json und Lock-Dateien.
• Auf Version 4.3.1 oder neuer aktualisieren.
• Dienste priorisieren, die URLs von Benutzern oder Dritten herunterladen.
• Ausgehende URLs auf eine Allowlist beschränken und Schreibrechte des Prozesses einschränken.
• Zielverzeichnisse auf unerwartete Dateien prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  EterNullSec/CVE-2026-103648

Quellen der Recherche

• GitLab work item #32 (image-downloader) gitlab.com
• GitLab fix commit fb445430 gitlab.com
• CVE record via Vulners (CNA GitLab) vulners.com
• OSV entry CVE-2026-103648 osv.dev
• VulDB CVE-2026-103648 vuldb.com
• OpenCVE CVE-2026-103648 (CISA SSVC) app.opencve.io
• image-downloader on npm www.npmjs.com
• image-downloader GitHub mirror github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:37.