XXL-JOB: Cross-Site Request Forgery in der Benutzerverwaltung

Zusammenfassung

XXL-JOB 3.5.0-SNAPSHOT und frühere Versionen bieten keinen CSRF-Schutz für die Benutzerverwaltungs-Endpunkte /user/insert, /user/update und /user/delete, die zudem jede HTTP-Methode akzeptieren. Besucht ein angemeldeter Administrator eine manipulierte Webseite, kann ein Angreifer Benutzer anlegen, ändern oder löschen, etwa um ein eigenes Administratorkonto hinzuzufügen. Die Ausnutzung erfordert eine Benutzerinteraktion durch das Opfer und Zugriff auf die Admin-Konsole.

Betroffen

• XXL-JOB 3.5.0-SNAPSHOT und frühere Versionen (laut CVE-Eintrag und Meldung; NVD führt keinen CPE)
• Komponente: JobUserController (/user/insert, /user/update, /user/delete)

Behoben in

Unbekannt. In den geprüften Quellen wurde keine korrigierte Version veröffentlicht.

Umgehung

• Cross-Site-Anfragen an /user/insert, /user/update und /user/delete mit einer Web Application Firewall oder einem Reverse Proxy blockieren, wie in einer Drittquelle vorgeschlagen (nicht getestet).
• Zugriff auf die Admin-Konsole auf interne Netze oder VPN beschränken.
• SSO und MFA für den Admin-Zugang verlangen.
• Administratoren sollten sich nach der Nutzung abmelden und nicht im Web surfen, während sie angemeldet sind.

Ausnutzung

• Die Quellen widersprechen sich. VulDB meldet keinen verfügbaren Exploit; ein täglicher CVE-Bericht verweist auf einen GitHub-PoC (nicht verifiziert).
• Keine Berichte über Ausnutzung in freier Wildbahn; laut einer Quelle nicht im CISA-KEV-Katalog.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.

Unsere Empfehlung

• Prüfen, ob die XXL-JOB-Admin-Konsole aus dem Internet erreichbar ist, und diese gegebenenfalls einschränken.
• Die Blockierung am Reverse Proxy oder an der WAF für die betroffenen Endpunkte aktivieren, bis eine korrigierte Version verfügbar ist.
• Die Releases im xxl-job-GitHub-Repository prüfen und eine korrigierte Version installieren, sobald diese bestätigt ist.
• Die Benutzerliste auf unbekannte Konten prüfen und das Anlegen neuer Benutzer überwachen.
• Keine ungeprüften Proof-of-Concept-Codes von Drittseiten ausführen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-106708 reporter advisory github.com
• XXL-JOB GitHub repository github.com
• OSV / Vulners record vulners.com
• OpenCVE CVE-2026-106708 app.opencve.io
• VulDB 420868 vuldb.com
• Strix CVE-2026-106708 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:32.