EnergizeLab station-middleware: Fehlende Autorisierung in Admin-APIs
Zusammenfassung
Die NestJS-basierten Docker-Images von station-middleware in den Versionen 1.6.5 bis 1.8.2 prüfen die Benutzerrollen bei administrativen APIs nicht. Jeder authentifizierte Benutzer mit niedrigen Berechtigungen kann KI-Provider-Schlüssel abrufen sowie die Konfiguration und die Inhalte des Object-Stores ändern. Für den Angriff genügt ein gültiges Low-Privilege-Login ohne Interaktion durch den Benutzer.
Betroffen
- EnergizeLab station-middleware Docker-Images 1.6.5 bis 1.8.2
- Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt; es wurde keine Herstellerwarnung gefunden.
Umgehung
- Netzwerkzugriff auf die Admin-Endpunkte oder die gesamte Middleware auf vertrauenswürdige Management-Netze beschränken
- Nicht benötigte Low-Privilege-Konten prüfen und entfernen
- Logs auf unerwartete Konfigurationsänderungen prüfen
Dabei handelt es sich um Empfehlungen der Analysten, nicht um Hersteller-Vorgaben.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Laut Strix nicht in KEV gelistet
- In den konsultierten Quellen ist kein öffentlicher PoC dokumentiert; ein Repository des Finders existiert, sein Inhalt wurde jedoch nicht geprüft
Unsere Empfehlung
- Prüfen, ob ein Kunde EnergizeLab station-middleware im betroffenen Versionsbereich einsetzt
- Falls im Einsatz: Zugriff auf die Admin-Endpunkte und das Login-Portal umgehend einschränken
- KI-Provider-Schlüssel und Object-Store-Zugangsdaten rotieren, wenn eine Exposition möglich ist
- Logs auf unerwartete Konfigurationsänderungen überwachen und auf eine Herstellerwarnung sowie eine korrigierte Version achten
- Die CVSS-Bewertung 9.6 (kritisch) als Priorität behandeln; die VulDB-Bewertung 6.3 unterschätzt die Auswirkungen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record summary (OpenCVE) app.opencve.io
- VulDB entry 420903 vuldb.com
- Strix CVE-2026-105039 www.strix.ai
- OffSeq Radar CVE-2026-105039 radar.offseq.com
- CWE-862 reference (CIRCL) vulnerability.circl.lu
- Researcher repository (contents not reviewed) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.