PictShare: Vorhersagbarer Löschcode durch schwache Zufallszahlen

Zusammenfassung

PictShare vor 3.7.1 erzeugt den delete_code, der das Löschen einer hochgeladenen Datei autorisiert, mit der nicht kryptografischen Funktion rand(). Ein Angreifer, der den Zustand des Pseudozufallszahlengenerators vorhersagen oder ableiten kann, kann gültige Codes erraten und gehostete Dateien ohne Kenntnis des Codes löschen. Der Angriff ist remote möglich und erfordert keine Authentifizierung, doch CVSS 4.0 stuft die Angriffskomplexität als hoch ein.

Betroffen

• PictShare 2.0.0 bis einschliesslich vor 3.7.1 (CNA-Eintrag)
• Die genaue Liste der betroffenen Versionen zwischen 3.3 und 3.7.0 ist unbestätigt.

Behoben in

• PictShare 3.7.1 (Commit ce5fc474e89769efeae25fee763894bcce3412e3 ersetzt rand() durch random_int() und behebt zudem CVE-2026-104051)

Umgehung

Unbekannt.

• Falls kein Patch möglich ist, den Zugriff auf die Instanz auf vertrauenswürdige Netzwerke beschränken (eigene Empfehlung, nicht vom Hersteller dokumentiert).

Ausnutzung

• Ein öffentlicher Proof of Concept eines Drittanbieters existiert (GitHub-Repository wvllxe).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• PictShare auf 3.7.1 oder neuer aktualisieren und prüfen, ob eine neuere Version verfügbar ist.
• Zusätzlich CVE-2026-104051 (Offenlegung des Löschcodes über die Info-API) adressieren, die in derselben Version behoben ist und direkter ausnutzbar ist.
• Prüfen, ob die Instanz aus dem Internet erreichbar ist, und den Zugriff einschränken, falls er öffentlich nicht benötigt wird.
• logs/deletes.log auf unerwartete Löschungen überwachen.
• Berücksichtigen, dass Dateien, die vor dem Update hochgeladen wurden, noch schwache Löschcodes tragen könnten (vom Hersteller nicht bestätigt).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  wvllxe/CVE-2026-104356-pictshare-weak-delete-code

Quellen der Recherche

• Fix commit ce5fc47 (GitHub) github.com
• Release v3.7.1 (GitHub) github.com
• VulnCheck advisory: PictShare predictable delete code via rand() www.vulncheck.com
• VulDB CVE-2026-104356 vuldb.com
• OSV CVE-2026-104356 osv.dev
• Third-party PoC repository (wvllxe) github.com
• Related CVE-2026-104051 write-up (wvllxe) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:35.