HortusFox: Remote Code Execution über Theme-Import
Zusammenfassung
HortusFox, eine selbst gehostete Webanwendung zur Pflanzenverwaltung, entpackt hochgeladene Theme-ZIP-Archive im öffentlichen Webroot, bevor Dateinamen, Erweiterungen oder Inhalte geprüft werden. Ein authentifizierter Administrator kann ein Archiv mit einer PHP-Datei und einer .htaccess-Datei hochladen, welche die Ausführung von Skripten wieder aktiviert, und danach beliebige Betriebssystembefehle als Benutzer des Webservers ausführen. Der Angriff setzt Administratorrechte voraus; ein öffentlicher Exploit oder eine aktive Ausnutzung ist nicht bekannt.
Betroffen
- HortusFox-Versionen vor 6.2
Behoben in
- Version 6.2 (Commit 3b87393 und Release-Tag v6.2)
Umgehung
- Theme-Import bis zur Aktualisierung deaktivieren oder einschränken (Vorschlag eines Drittanbieters, nicht vom Hersteller).
- Administratorzugriff einschränken.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Laut Drittanbieter-Trackern nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle HortusFox-Instanzen identifizieren und deren Versionen erfassen.
- Auf Version 6.2 oder neuer aktualisieren, vorzugsweise auf die neueste Version.
- Bis zur Aktualisierung den Theme-Import nach Möglichkeit deaktivieren und den Administratorzugriff einschränken.
- Das Theme-Verzeichnis auf unerwartete PHP- oder .htaccess-Dateien prüfen und die Logs auf unerwartete Theme-Uploads kontrollieren.
- Administratorkonten überprüfen und starke Passwörter durchsetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Commit 3b87393: Remove unsafe files from imported themes github.com
- HortusFox Release v6.2 github.com
- VulnCheck advisory: HortusFox RCE via Theme Import www.vulncheck.com
- NVD/Vulners record CVE-2026-104069 vulners.com
- OpenCVE CVE-2026-104069 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:20.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.