W (wcms): Remote Code Execution über die Media-Upload-API

Zusammenfassung

W (wcms) bis Version 3.18.0 enthält eine Path-Traversal-Schwachstelle in der Media-API (POST /api/v0/media/upload/ und DELETE /api/v0/media/). Ein authentifizierter Editor kann PHP-Dateien hochladen, die vom Webserver ausgeführt werden, mit kodierten ../-Sequenzen Dateien ausserhalb des Media-Verzeichnisses schreiben und beliebige Dateien löschen. Der Angriff setzt ein gültiges Editor-Konto voraus; eine Benutzerinteraktion ist nicht nötig.

Betroffen

• W (wcms) Versionen 0 bis 3.18.0 (gemäss CVE-Eintrag)

Behoben in

Unbekannt. Der Hersteller hat noch keine korrigierte Version veröffentlicht. Der Commit cda5bcdb95dbdb1e804fdfe0e5fd2e2b2f8a90e2 wird als Fundstelle des verwundbaren Codes genannt und sollte nicht als Korrektur betrachtet werden.

Umgehung

• Editor-Konten und die Media-Upload-API nach Möglichkeit auf vertrauenswürdige Netzwerke beschränken.
• Serverseitige Skriptausführung im Media-Verzeichnis deaktivieren.
• Sicherstellen, dass das Dienstkonto des Webservers keinen Anwendungscode schreiben kann.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Ein öffentliches Issue des Forschers (#662) enthält Detailangaben zu Dateien und Zeilen; ein öffentlicher Proof of Concept wurde nicht bestätigt.

Unsere Empfehlung

• Prüfen, ob W (wcms) 3.18.0 oder älter eingesetzt wird, insbesondere auf öffentlich erreichbaren Instanzen mit Editor-Konten.
• Editor-Konten auf vertrauenswürdige Benutzer beschränken und auf unbekannte Konten prüfen.
• Zugriff auf die Media-API einschränken und PHP-Ausführung im Media-Verzeichnis deaktivieren.
• Instanz sichern und Media-Ordner auf unerwartete PHP-Dateien prüfen.
• Auf PHP-Dateien ausserhalb der erwarteten Orte, Traversal-Sequenzen in Upload-Anfragen und unerwartete Löschvorgänge überwachen.
• Den NVD-Eintrag und das Herstellerrepository auf eine korrigierte Version prüfen und diese sofort einspielen, sobald sie verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record: VulnCheck advisory www.vulncheck.com
• GitHub issue #662 (researcher report) github.com
• Controllerapimedia.php at cda5bcd github.com
• Media.php at cda5bcd github.com
• W (wcms) GitHub repository github.com
• OSV entry CVE-2026-105123 osv.dev
• Red Packet Security CVE alert www.redpacketsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:41.