Backdrop CMS: Informationsoffenlegung über Konfigurationsexport-Archive
Zusammenfassung
Backdrop CMS Versionen vor 1.35.1 (sowie 1.34.x vor 1.34.5 gemäss Sicherheitshinweis des Herstellers) belassen Konfigurationsexport-Archive nach der Übertragung auf dem Server. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein solches Archiv, sofern er es kennt oder findet, herunterladen und so die vollständige Site-Konfiguration inklusive sensibler Einstellungen erhalten. Der CVSS-4.0-Wert ist 8.2 (Hoch) mit hoher Angriffskomplexität und einer Voraussetzung, da zuerst ein Archiv von einem Benutzer mit der Berechtigung für den Konfigurationsexport erstellt worden sein muss.
Betroffen
- Backdrop CMS vor 1.35.1 (gemäss CVE-Eintrag)
- Backdrop CMS 1.34.x vor 1.34.5 (gemäss Hersteller-Sicherheitshinweis BACKDROP-SA-CORE-2026-006; nicht im CVE-Eintrag aufgeführt)
- Versionen 1.33 und älter: keine Sicherheitsabdeckung durch den Hersteller
Behoben in
- Backdrop CMS 1.35.1
- Backdrop CMS 1.34.5
- Fix-Commit: 1ae67061d9d487bb6cb3b8611191354052f34749
- Neuere Patch-Versionen sind verfügbar; verwenden Sie die neueste 1.35.x- oder 1.34.x-Version.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt. Die vom Hersteller genannte Massnahme ist das Update.
- Beschränken Sie die Berechtigung 'Synchronize, Import and Export Configuration' auf ein Minimum vertrauenswürdiger Rollen.
- Prüfen Sie das Webroot sowie temporäre oder Files-Verzeichnisse auf verbliebene Konfigurationsarchive und entfernen Sie diese.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein verifizierter öffentlicher Proof of Concept.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- EPSS: 0.00291 (aggregierte Daten von Rapid7).
Unsere Empfehlung
- Aktualisieren Sie alle Backdrop-Sites mindestens auf 1.35.1 oder 1.34.5, idealerweise auf die neueste Patch-Version.
- Priorisieren Sie Sites, die aus dem Internet erreichbar sind.
- Entfernen Sie verbliebene Konfigurationsexport-Archive und prüfen Sie, ob diese erreichbar waren; falls ja, rotieren Sie Datenbank-Zugangsdaten, API-Schlüssel und Salts.
- Beschränken Sie die Berechtigung für den Konfigurationsexport auf vertrauenswürdige Rollen.
- Sites mit Version 1.33 oder älter müssen auf einen unterstützten Zweig migriert werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Backdrop CMS security advisory BACKDROP-SA-CORE-2026-006 backdropcms.org
- Backdrop CMS 1.35.1 release github.com
- Backdrop CMS releases github.com
- Fix commit 1ae67061d9d487bb6cb3b8611191354052f34749 github.com
- VulnCheck advisory www.vulncheck.com
- VulDB CVE-2026-104476 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:07.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.