Apache Roller: Cross-Site Request Forgery in Planet-Administration ermöglicht Server-Side Request Forgery
Zusammenfassung
Apache Roller 4.0 bis 6.1.6 erlaubt einen CSRF-Angriff auf die Administration des Planet-Feed-Aggregators. Ein Angreifer kann den Browser eines angemeldeten globalen Administrators dazu bringen, dass der Roller-Server eine vom Angreifer gewählte URL abruft, auch interne Adressen. Abgerufene Inhalte, die als Feed interpretiert werden, werden anschliessend ohne Authentifizierung im Planet-Feed veröffentlicht. Der Planet-Aggregator ist standardmässig aktiviert, und ein Administrator muss mit dem Angreifer interagieren.
Betroffen
- Apache Roller 4.0 bis 6.1.6
- Versionen vor 4.0: unbekannt
Behoben in
- Apache Roller 6.1.7 oder neuer
Umgehung
- Vom Hersteller wurde kein offizieller Workaround veröffentlicht.
- Falls Planet nicht genutzt wird, den Planet-Aggregator bis zum Upgrade deaktivieren (vom Hersteller nicht bestätigt).
- Administratoren sollten beim angemeldeten Zustand in Roller keine unbekannten Websites besuchen.
Ausnutzung
- Gemäss OffSeq nicht als ausgenutzt bekannt. Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog (Strix) aufgeführt.
- VulDB stuft die Ausnutzung als einfach ein, mit Benutzerinteraktion.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
Unsere Empfehlung
- Prüfen, ob Apache Roller im Einsatz ist und welche Version installiert ist.
- Das Upgrade auf 6.1.7 oder neuer planen und als dringend behandeln, da CVE-2026-118411 (CSRF führt zur Erstellung eines Administratorkontos, 5.0.1 bis 6.1.6, CVSS 8.8) durch dasselbe Upgrade behoben wird.
- Bis zur Behebung Planet deaktivieren, falls es nicht genutzt wird.
- Nach dem Upgrade auf 6.1.7 planet.aggregator.enabled=true in roller-custom.properties nur setzen, wenn Planet genutzt wird.
- NVD und die Apache-Advisories auf Aktualisierungen überwachen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Roller pull request #200 github.com
- Apache mailing list thread lists.apache.org
- OffSeq CVE-2026-105154 radar.offseq.com
- Strix CVE-2026-105154 www.strix.ai
- VulDB CVE-2026-105154 vuldb.com
- OffSeq CVE-2026-118411 radar.offseq.com
- Strix CVE-2026-118411 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.