ConvertX: Beliebige Codeausführung über Calibre-Recipe-Dateien
Zusammenfassung
ConvertX, ein selbst gehosteter Online-Dateikonverter, blockiert Calibre-Recipe-Dateien (.recipe und .downloaded_recipe) nicht und übergibt sie an das Programm ebook-convert. Ausführbarer Code in solchen Dateien kann dadurch auf dem Server ausgeführt werden. Die CNA stuft die Lücke als kritisch ein (CVSS 4.0 Basiswert 9.4) und setzt ein Konto mit niedrigen Berechtigungen voraus.
Betroffen
- ConvertX-Versionen vor 0.19.0
- Versionen bis 0.18.x sind laut VulDB betroffen
Behoben in
- ConvertX 0.19.0 (Upstream-Release vom 26. Sep 2026)
- Neuere Versionen existieren; verwenden Sie die neueste stabile Version und prüfen Sie, ob der Fix in Ihrem Build enthalten ist
Umgehung
- Kein Workaround des Herstellers gefunden; die Behebung ist ein Upgrade
- Instanz bis zum Patch vom Internet fernhalten und Konten auf vertrauenswürdige Mitarbeitende beschränken
- Dienst in einem Netzsegment mit eingeschränktem Zugriff auf interne Systeme betreiben (Empfehlung einer Drittanalyse, nicht des Herstellers)
- Container als Nicht-Root-Benutzer ausführen (PUID-Einstellung, verfügbar seit v0.19.0)
- Unbekannt, ob der Calibre-Konverter deaktiviert werden kann, ohne die Anwendung zu beeinträchtigen
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn
- Nicht im CISA-KEV-Katalog gelistet
- Kein öffentlicher Proof of Concept durch Aggregatoren gefunden; dies ist kein Beweis, dass keiner existiert
- CISA SSVC: Ausnutzung keine, automatisierbar nein
- EPSS etwa 0.003
Unsere Empfehlung
- ConvertX auf Version 0.19.0 oder neuer aktualisieren, vorzugsweise auf die neueste stabile Version
- Falls ein Drittanbieter-Paket verwendet wird (z. B. für Synology DSM), beim Paketersteller prüfen, ob der Fix enthalten ist
- Bis zum Patch die Internetexposition einschränken und begrenzen, wer Dateien hochladen kann
- Container mit eingeschränktem Netzwerkzugriff und als Nicht-Root-Benutzer betreiben
- Container auf neue oder geänderte Dateien und ungewöhnliche ausgehende Verbindungen überwachen
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
beyavuz/cve-2026-105080-poc
Quellen der Recherche
- GitHub Security Advisory GHSA-m4hh-rqmf-c8hw github.com
- Fix commit 0ca17dad github.com
- ConvertX release v0.19.0 github.com
- OSV CVE-2026-105080 osv.dev
- VulDB CVE-2026-105080 vuldb.com
- VulnCheck VULNRICHMENT CVE-2026-105080 vulners.com
- TheHackerWire CVE-2026-105080 www.thehackerwire.com
- ConvertX project github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.