JTL-Shop: Fehlende Authentifizierung erlaubt unauthentifiziertes Umschalten des Wartungsmodus
Zusammenfassung
Die Administrationsoberfläche des JTL-Shops verarbeitet das Umschalten des Plugin-Safe-Mode auf der Admin-Logout-Route, bevor die Authentifizierung geprüft wird. Ein nicht authentifizierter Angreifer kann den Safe Mode mit einer einzigen Anfrage ein- und ausschalten, wodurch alle Plugins (inklusive Zahlungs- und Versandanbindungen) deaktiviert werden und der Shop in den Wartungsmodus wechselt, was zu einem shopweiten Ausfall führt. Der Angriff kann gegen viele Installationen automatisiert werden. Der Hersteller meldet bis zum 14. Oktober 2026 keine bestätigte Ausnutzung.
Betroffen
- JTL-Shop 5.3.0 bis vor 5.6.5 (gemäss CNA-Eintrag; der Hersteller nennt 5.3.0 bis 5.5.x als nicht mehr mit Patches versorgt, Upgrade erforderlich)
- JTL-Shop 5.7.0 bis vor 5.7.5
- JTL-Shop 5.8.0 bis vor 5.8.2
- Vom Hersteller gehostete Shops sind laut Hersteller bereits behoben
Behoben in
- Shop 5.6.5 (Linie 5.6)
- Shop 5.7.5 (Linie 5.7)
- Shop 5.8.2 (Linie 5.8)
- Versionen 5.3.0 bis 5.5.x: kein Fix auf eigener Linie; Upgrade auf eine unterstützte Linie
Umgehung
- Kein Workaround des Herstellers bekannt; das Upgrade ist die dokumentierte Behebung.
- Zugriff auf das Admin-Backend nach Möglichkeit am Reverse Proxy oder WAF einschränken.
- Ein WAF-Anbieter behauptet Schutz, dies ist nicht unabhängig verifiziert.
Ausnutzung
- Öffentlicher Proof of Concept: keiner bekannt.
- Hersteller: keine Hinweise auf Ausnutzung bis 14. Oktober 2026.
- CISA SSVC: automatisierbar ja, technische Auswirkung partiell. KEV-Status in den Quellen widersprüchlich; nicht verifiziert.
Unsere Empfehlung
- Alle JTL-Shop-Instanzen und Versionen inventarisieren, auch bei Drittanbieter-Hosting.
- Auf 5.6.5, 5.7.5 oder 5.8.2 innerhalb der passenden Linie aktualisieren; Installationen 5.3 bis 5.5 auf eine unterstützte Linie migrieren.
- Exposition des Admin-Backends reduzieren und WAF-Optionen prüfen.
- Access-Logs auf Aufrufe der Admin-Logout-Route mit Safemode-Parametern prüfen sowie Plugin- und Wartungsmodus-Status kontrollieren.
- Endgültige Versionsangaben mit dem Sicherheitshinweis des Herstellers abgleichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JTL-Software security advisory: Shop maintenance mode www.jtl-software.com
- VulDB entry 419796 vuldb.com
- CVE record (CVEProject cvelistV5) raw.githubusercontent.com
- JTL-Software security advisory: XSS (patch files) www.jtl-software.com
- JTL Guide: Safe mode FAQ guide.jtl-software.com
- Strix CVE details www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.