Podgrab: Denial of Service durch Race Condition im WebSocket-Handler

Zusammenfassung

Podgrab, ein selbst gehosteter Podcast-Manager, enthält eine Race Condition im WebSocket-Handler: Zwei gemeinsam genutzte Maps (activePlayers und allConnections) werden von Goroutinen ohne Mutex gelesen und geschrieben. Ein entfernter, nicht authentifizierter Angreifer, der mehrere WebSocket-Verbindungen zum Endpunkt /ws öffnet und wiederholt Nachrichten sendet, kann den Prozess zum Absturz bringen. Für die Wiederherstellung des Dienstes ist ein Eingriff durch den Betreiber erforderlich.

Betroffen

• akhilrex Podgrab, alle Commits bis und mit 032248091294dbf5b6a439a5afd93788a7cc647f
• Release-Versionen: Unbekannt.

Behoben in

Unbekannt. Es ist keine korrigierte Version oder kein korrigierter Commit bestätigt.

Umgehung

• Die Instanz nicht direkt aus dem Internet erreichbar machen; sie hinter ein VPN oder einen authentifizierenden Reverse Proxy stellen.
• Den Zugriff auf /ws nach Möglichkeit am Proxy oder an der Firewall einschränken.
• Die referenzierte Write-up des Forschers gibt zudem an, dass /ws ausserhalb von Basic Auth eingebunden ist; die Einstellung PASSWORD schützt diesen Endpunkt daher möglicherweise nicht. Dies auf der eigenen Instanz prüfen.
• Eine automatische Neustart-Richtlinie für den Container konfigurieren und auf Abstürze überwachen, um Ausfallzeiten zu begrenzen.

Ausnutzung

• CISA SSVC: automatisierbar ja, technische Auswirkung partiell, Ausnutzung keine.
• In freier Wildbahn ausgenutzt: Unbekannt; nicht in CISA KEV aufgeführt.
• Eine öffentliche Write-up des Forschers existiert; der Inhalt eines PoC ist nicht verifiziert.

Unsere Empfehlung

• Alle Podgrab-Installationen identifizieren und prüfen, ob sie von aussen erreichbar sind.
• Die direkte Internetexposition entfernen und die oben genannten Workarounds anwenden, bis eine korrigierte Version bestätigt ist.
• Das upstream-Repository und diese CVE auf eine Korrektur überwachen und nach deren Verfügbarkeit umgehend aktualisieren.
• Priorität: für die meisten KMU mittel; hoch, falls eine Instanz aus dem Internet erreichbar ist oder für Geschäftsinhalte genutzt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Researcher disclosure (gist) gist.github.com
• VulnCheck advisory www.vulncheck.com
• OSV vulnerability record osv.dev
• OpenCVE CVE-2026-104057 app.opencve.io
• Podgrab project repository github.com
• Nixpkgs security tracking issue github.com
• Strix CVE-2026-104057 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:18.