PictShare: Informationsabfluss über info-API führt zu unberechtigtem Löschen von Dateien
Zusammenfassung
PictShare vor 3.7.1 gibt über die info-API die vollständigen Rohmetadaten einer Datei zurück, ohne Zugriffsbeschränkung für nicht authentifizierte Benutzer und ohne Feldfilter. Die Metadaten enthalten den geheimen Löschcode, die IP-Adresse des Hochladenden, den User Agent und den Remote-Port. Ein nicht authentifizierter Angreifer, der einen Datei-Hash kennt oder beschaffen kann, kann den Löschcode abrufen und die Datei dauerhaft löschen; zudem werden Angaben zum Hochladenden offengelegt.
Betroffen
- HaschekSolutions PictShare ab 2.0.0 bis einschliesslich vor 3.7.1 (gemäss CVE-Eintrag und OSV; VulDB nennt bis 3.7.0)
Behoben in
- Upgrade auf PictShare 3.7.1 oder neuer (Vendor-Release v3.7.1 mit Fix-Commit ce5fc47)
Umgehung
- Keine vom Hersteller dokumentierte Massnahme bekannt.
- Nicht verifiziert: Zugriff auf den info-API-Pfad am Reverse Proxy einschränken oder blockieren oder die Instanz auf vertrauenswürdige Netze beschränken. Vorgängig testen, da Integrationen betroffen sein können.
Ausnutzung
- Ein öffentlicher Proof of Concept existiert.
- Der Angriff erfordert keine Authentifizierung und lässt sich einfach automatisieren (CISA SSVC: automatisierbar ja).
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; nicht gegen den CISA-KEV-Katalog verifiziert.
Unsere Empfehlung
- Prüfen, ob eine PictShare-Instanz aus dem Internet erreichbar ist, zum Beispiel über externe Scans oder eine Suche nach dem Pfad /api/info/.
- Betroffene Instanzen prioritär auf 3.7.1 oder neuer aktualisieren. Die Korrektur für das verwandte CVE-2026-104356 (schwache Löschcodes) ist im gleichen Release enthalten.
- Falls das Patchen verzögert wird, gehostete Inhalte sichern und Zugriffsprotokolle auf wiederholte info-API-Aufrufe gefolgt von Löschaufrufen prüfen.
- Interne Instanzen hinter einer Authentifizierung haben tiefere Priorität.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
wvllxe/CVE-2026-104051-pictshare-info-disclosure
Quellen der Recherche
- Fix commit ce5fc47 (GitHub) github.com
- Release v3.7.1 (GitHub) github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-104051 osv.dev
- Public PoC write-up (wvllxe) github.com
- Related CVE-2026-104356 write-up (wvllxe) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.