SkillHub: Fehlerhafte Autorisierung bei Kontozusammenführung ermöglicht Kontoübernahme
Zusammenfassung
SkillHub vor 0.2.22 enthält eine fehlerhafte Autorisierung in der Funktion zur Kontozusammenführung (AccountMergeService und AccountMergeController). Ein authentifizierter Benutzer kann eine Zusammenführung mit einem Zielbenutzernamen oder einer OAuth-Identität starten, das Verifizierungs-Token direkt erhalten und die Zusammenführung bestätigen. Dadurch kann der Angreifer das Konto des Opfers übernehmen, einschliesslich API-Tokens, Rollen und Namespace-Besitz. Der Angreifer benötigt ein gültiges Konto auf der Instanz, eine Benutzerinteraktion ist nicht erforderlich.
Betroffen
- iFlytek SkillHub, Versionen 0 bis vor 0.2.22 (gemäss CNA-Eintrag)
- Hinweis: VulDB beschreibt das Problem als bis 0.2.21 und nennt eine andere CWE; die Daten der CNA werden als massgebend betrachtet.
Behoben in
- Behoben in SkillHub v0.2.22
- Fix-Commit: 45228996c7dd67f9304dba5b221fef15138a7fc4
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme für ältere Versionen bekannt.
- Übergangsmassnahmen (eigene Einschätzung, nicht vom Hersteller): Selbstregistrierung einschränken, Netzwerkzugriff auf die Instanz begrenzen und Aktivitäten bei Kontozusammenführungen sowie die Nutzung von API-Tokens in den Audit-Logs prüfen.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Alle SkillHub-Instanzen und deren Versionen erfassen.
- Auf v0.2.22 oder neuer aktualisieren, nach einer PostgreSQL-Sicherung; Flyway-Migrationen V66 und V67 einplanen.
- API-Tokens für Automatisierungen rotieren oder neu ausstellen, da Tokens zusammengeführter Konten widerrufen werden.
- Audit-Logs auf Kontozusammenführungen sowie unerwartete Änderungen an Namespaces oder Tokens prüfen, ab dem 5. Oktober 2026 (konservatives Zeitfenster).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-108550 VulnCheck advisory www.vulncheck.com
- SkillHub release v0.2.22 github.com
- Fix commit 45228996 github.com
- GitHub issue #921 github.com
- Vulnerable code at v0.2.21 github.com
- OSV entry CVE-2026-108550 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:05.
Referenzen der NVD (6)
- https://github.com/iflytek/skillhub
- https://github.com/iflytek/skillhub/blob/v0.2.21/server/skillhub-auth/src/main/java/com/iflytek/skillhub/auth…
- https://github.com/iflytek/skillhub/commit/45228996c7dd67f9304dba5b221fef15138a7fc4
- https://github.com/iflytek/skillhub/issues/921
- https://github.com/iflytek/skillhub/releases/tag/v0.2.22
- https://www.vulncheck.com/advisories/skillhub-before-0.2.22-account-takeover-via-account-merge-flow
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.