Dromara Skyeye: Fehlende Authentifizierung in eingebundenem xxl-job-admin erlaubt Remote Code Execution

Zusammenfassung

Dromara Skyeye bis einschliesslich Commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 enthält eine eingebundene Version von xxl-job-admin, deren JobInfoController-Endpunkte ohne Authentifizierung erreichbar sind. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die Admin-Oberfläche kann Jobs vom Typ GLUE_SHELL, GLUE_PYTHON oder GLUE_POWERSHELL mit eigenem Code erstellen, der auf dem Executor-Host ausgeführt wird. Zudem kann er bestehende Jobs anhalten und löschen.

Betroffen

• Dromara Skyeye bis einschliesslich Commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 (Default-Branch)
• Eingebundene Komponente xxl-job-admin 2.3.0 im betroffenen Commit
• In den Quellen werden keine Release-Tags genannt.

Behoben in

Unbekannt.

• Zum Zeitpunkt der Recherche wurden kein korrigierter Commit, kein Release und keine Herstellermitteilung gefunden.

Umgehung

• Netzwerkzugriff auf die Skyeye-Admin-Oberfläche auf vertrauenswürdige interne IP-Adressen oder ein VPN beschränken.
• Die Annotation @PermissionLimit(limit = false) an den JobInfoController-Endpunkten entfernen oder korrigieren, damit eine Authentifizierung greift. Dies ist ein Vorschlag aus einer Drittanalyse und erfordert eine Code-Änderung; er ist nicht vom Hersteller bestätigt.
• Netzwerkzugriff auf den xxl-job-Executor-Host einschränken, da dort die Befehle ausgeführt werden.

Ausnutzung

• In freier Wildbahn: Keine Hinweise gefunden. Kein Eintrag im CISA-KEV-Katalog gefunden.
• Öffentliche Informationen: Die Schwachstelle wird im öffentlichen Skyeye-GitHub-Issue #29 beschrieben.
• Öffentlicher Proof of Concept: Unbekannt.
• CISA SSVC: Automatisierbar ja, technische Auswirkung total, Ausnutzung keine.
• EPSS: laut zwei Aggregatoren etwa 0,5 Prozent.

Unsere Empfehlung

• Alle Skyeye-Installationen inventarisieren, auch Instanzen, in denen xxl-job eingebunden und nicht offensichtlich ist.
• Öffentliche Erreichbarkeit des Skyeye-Admin-Bereichs sofort entfernen und den Zugriff auf vertrauenswürdige IP-Adressen oder ein VPN beschränken.
• Bis der Hersteller einen Patch bestätigt, von einer fehlenden Korrektur ausgehen; Issue #29 und das Upstream-Repository überwachen.
• Executor- und Job-Protokolle auf unerwartete GLUE-Jobs prüfen, falls die Instanz erreichbar war.
• Die gesamte Skyeye-Instanz als betroffen behandeln, da auch die verwandten Schwachstellen CVE-2026-107780 und CVE-2026-107781 gemeldet wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-107779 VulnCheck advisory www.vulncheck.com
• Skyeye GitHub issue #29 github.com
• Skyeye repository github.com
• Affected code at commit 003549ae github.com
• Positive Technologies PT-2026-108202 vulners.com
• OSV CVE-2026-107779 osv.dev
• VulDB CVE-2026-107779 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:53.