Penpot SVG Exporter: OS-Command-Injection über fill-color
Zusammenfassung
Der SVG-Exporter der Open-Source-Plattform Penpot für Design und Prototyping übergibt die Füllfarbe von Textobjekten ungeprüft an einen Shell-Befehl, der über child_process.exec ausgeführt wird. Ein Angreifer, der eine Datei bearbeiten kann, oder der einen gültigen öffentlichen Freigabelink zu einer manipulierten Datei besitzt, kann Shell-Metazeichen in der Füllfarbe speichern und einen SVG-Export auslösen. Die Befehle werden anschliessend mit den Berechtigungen des Exporter-Dienstes ausgeführt.
Betroffen
- Penpot-Versionen vor 2.18.0 (selbst gehostete Installationen)
- SVG-Exporter-Dienst von Penpot
Behoben in
- Behoben in Penpot 2.18.0 (GHSA-4f36-m4hj-cv86)
- Das Herstellerdokument verweist zusätzlich auf spätere 2.18.x-Versionen; die Fix-Version auf der GHSA-Seite prüfen
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', nicht automatisierbar
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn gefunden
- Öffentlicher Proof of Concept laut CISA SSVC
Unsere Empfehlung
- Selbst gehostete Penpot-Installationen auf 2.18.0 oder eine spätere 2.18.x-Version aktualisieren
- Bis zur Aktualisierung Bearbeitungsrechte für Dateien einschränken und öffentliche Freigabelinks prüfen oder deaktivieren
- Netzwerkzugriff des Exporters einschränken und die Container-Berechtigungen begrenzen
- Exporter-Dienst auf unerwartete Kindprozesse überwachen
- Priorität: hoch für aus dem Internet erreichbare oder extern geteilte selbst gehostete Instanzen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4f36-m4hj-cv86 github.com
- Penpot 2.18.0 release github.com
- OSV CVE-2026-105691 osv.dev
- VulDB CVE-2026-105691 vuldb.com
- Fix commit aa3bc1a github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:43.
Referenzen der NVD (5)
- https://github.com/penpot/penpot/commit/aa3bc1ae984577f0354d4270d2546e15985f4bcf
- https://github.com/penpot/penpot/pull/11272
- https://github.com/penpot/penpot/releases/tag/2.18.0
- https://github.com/penpot/penpot/security/advisories/GHSA-4f36-m4hj-cv86
- https://github.com/penpot/penpot/security/advisories/GHSA-4f36-m4hj-cv86
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.