PHPNuxBill: Kontoübernahme durch brute-force-fähigen Passwort-Reset-Code

Zusammenfassung

PHPNuxBill bis einschliesslich 2025.3.20 enthält eine Schwachstelle im Passwort-Reset-Prozess für Kunden in system/controllers/forgot.php. Ein nicht authentifizierter Angreifer, der einen Kundenbenutzernamen kennt, kann den 6-stelligen OTP-Code per Brute-Force erraten, da die Anwendung keine Versuchsbegrenzung oder Sperre vorsieht. Das neu gesetzte Passwort wird anschliessend in der HTTP-Antwort zurückgegeben, wodurch der Angreifer das Kundenkonto übernehmen kann.

Betroffen

• PHPNuxBill bis einschliesslich 2025.3.20 (Herstellerbereich: 0 bis <= 2025.3.20)
• Standardkonfiguration: laut CNA-Eintrag (VulnCheck) nicht betroffen; in der eigenen Installation prüfen

Behoben in

Unbekannt. Ein Fix-Commit wird referenziert (c3c2a92d468af91136d747b75142ed72f10320cc), es wurde jedoch keine korrigierte Version bestätigt.

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme in den geprüften Quellen.
• Zugriff auf das Kundenportal und forgot.php einschränken (VPN, IP-Allowlist oder Selbstbedienung für Passwort-Reset deaktivieren, falls nicht benötigt).
• Rate Limiting oder WAF-Regeln für den Passwort-Reset-Endpunkt einrichten.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: total.
• Kein öffentlicher Exploit aufgeführt und zum Zeitpunkt der Recherche keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA KEV.
• Keine Authentifizierung nötig; der Angreifer benötigt einen gültigen Kundenbenutzernamen.

Unsere Empfehlung

• Prüfen, ob PHPNuxBill installiert ist und aus dem Internet erreichbar ist; aus dem Internet erreichbare Instanzen als kritisch behandeln.
• Zugriff auf das Kundenportal und die Reset-Funktion wie unter Workaround beschrieben einschränken.
• Auf eine Version mit Fix aktualisieren, sobald diese im GHSA-Advisory oder im Repository bestätigt ist.
• Webprotokolle auf wiederholte OTP-Eingaben von einer Quelle prüfen und bei Missbrauchsverdacht Kundenpasswörter zurücksetzen.
• Zusammen mit CVE-2026-108107 und CVE-2026-108108 triagieren, die dasselbe Produkt betreffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-337r-rrrc-r559 github.com
• VulnCheck advisory www.vulncheck.com
• Fix commit c3c2a92d github.com
• forgot.php at 2025.3.13 github.com
• OSV entry CVE-2026-108109 osv.dev
• Strix CVE record www.strix.ai
• Vulners Rapid7 entry (EPSS) vulners.com
• OpenCVE vendor list app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:43.