ELADMIN: Unzureichende Zugriffskontrolle im Endpunkt zum Zurücksetzen von Passwörtern

Zusammenfassung

ELADMIN v2.7 und früher enthält eine unzureichende Zugriffskontrolle im Benutzerverwaltungs-Endpunkt PUT /api/users/resetPwd. Der Endpunkt verfügt nicht über die Autorisierungsprüfung, die für andere Benutzerverwaltungs-Endpunkte gilt, und führt keine Prüfung von Rolle oder Eigentümerschaft durch. Jeder authentifizierte Benutzer, unabhängig von seiner Rolle, kann das Passwort beliebiger Konten zurücksetzen, einschliesslich des eingebauten Administratorkontos, was zu einer Kontoübernahme und Rechteausweitung führen kann.

Betroffen

• ELADMIN v2.7 und früher (Versionsbereich aus Daten von Aggregatoren; der CVE-Eintrag nennt kein Produkt bzw. keine Version)

Behoben in

Unbekannt.

Umgehung

• Den Zugriff auf /api/users/resetPwd (und den gesamten Pfad /api/users) auf Administratoren beschränken, z. B. mit Firewall-Regeln oder Rollenprüfungen auf Applikationsebene.
• Das ELADMIN-Panel vom Internet trennen, falls es dort nicht benötigt wird.

Ausnutzung

• Gemäss VulDB sind technische Details zur Schwachstelle bekannt; es wird kein verfügbarer Exploit gemeldet.
• Eine Ausnutzung in freier Wildbahn wurde nicht gemeldet. Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
• Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Alle ELADMIN-Instanzen inventarisieren und deren Versionen bestätigen.
• Jede Instanz in Version 2.7 oder früher als verwundbar behandeln, da kein Herstellerfix bestätigt ist.
• Die oben genannten Einschränkungen jetzt umsetzen und einschränken, wer das Administrationspanel erreichen kann.
• Logs auf resetPwd-Aufrufe durch Nicht-Administratoren prüfen.
• Bei verdächtigen Zurücksetzungen die Administratorpasswörter ändern und aktive Sitzungen ungültig machen.
• Das Upstream-Repository elunez/eladmin auf eine korrigierte Version überwachen und diese vor dem Einsatz beim Hersteller bestätigen lassen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ELADMIN GitHub repository github.com
• CVE-Request write-up CVE-2026-106700 github.com
• OpenCVE CVE-2026-106700 app.opencve.io
• VulDB 420859 vuldb.com
• Vulners MEND CVE-2026-106700 vulners.com
• Strix CVE-2026-106700 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:31.