Dromara Skyeye: Nicht authentifizierte OS-Command-Injection im textToSpeech-Endpunkt

Zusammenfassung

Dromara Skyeye enthält eine OS-Command-Injection-Schwachstelle im nicht authentifizierten Endpunkt /post/TtsController/textToSpeech, ausgelöst über den Parameter format. Ein Angreifer, der die Anwendung über das Netzwerk erreichen kann, kann durch ein einzelnes Anführungszeichen einen PowerShell-String aufbrechen und Befehle als Dienstkonto von Skyeye unter Windows ausführen. Es sind weder Authentifizierung noch Benutzerinteraktion nötig, und der CVSS-4.0-Score beträgt 9.3 (kritisch). Eine Korrektur ist noch nicht veröffentlicht.

Betroffen

• Dromara Skyeye, alle Versionen bis und mit Commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321
• Plattform: Windows (PowerShell-basierter Pfad für Text-zu-Sprache)
• Die Quellen nennen keine Release-Versionsnummern.

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde kein behobener Commit, kein Release und keine Sicherheitsmitteilung des Herstellers gefunden.

Umgehung

• Der Hersteller dokumentiert keine Massnahme.
• Skyeye aus dem Internet entfernen oder den Zugriff auf vertrauenswürdige Netzwerke bzw. nur per VPN beschränken.
• Den betroffenen Endpunkt vorübergehend an einem Reverse Proxy oder WAF blockieren und die Wirksamkeit der Sperre prüfen. Dies behebt den Code nicht.
• Die Anwendung unter einem Dienstkonto mit minimalen Rechten betreiben.

Ausnutzung

• Als aktiv ausgenutzt (KEV): kein Eintrag gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• EPSS: 0.02058 (kurz nach der Veröffentlichung berechnet).
• Technische Details zum verwundbaren Codepfad sind in GitHub-Issue #29 öffentlich. Ein bestätigter öffentlicher Exploit wurde nicht gefunden.

Unsere Empfehlung

• Alle Skyeye-Instanzen inventarisieren, auch Test- und Entwicklungssysteme auf Servern und Cloud-VMs.
• Ist eine Instanz aus dem Internet erreichbar, sie sofort offline nehmen oder auf VPN bzw. freigegebene Adressen beschränken.
• Webprotokolle auf Anfragen an den TTS-Endpunkt seit dem 2026-10-07 prüfen und nach PowerShell-Prozessen suchen, die vom Java-Prozess von Skyeye gestartet wurden.
• Bei Verdacht auf Kompromittierung die Zugangsdaten des Dienstkontos rotieren und den Host als kompromittiert behandeln.
• GitHub-Issue #29 und das Skyeye-Repository auf eine Korrektur überwachen; bis zu deren Veröffentlichung nicht von einer Korrektur ausgehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-107780 Vulnerability Record (VulnCheck advisory) www.vulncheck.com
• Dromara Skyeye GitHub repository github.com
• Vulnerable code: TtsServiceImpl.java github.com
• Skyeye GitHub issue #29 github.com
• OSV entry CVE-2026-107780 osv.dev
• VulDB CVE-2026-107780 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:54.