Blinko: Directory Traversal bei Plugin-Installation ermöglicht Remote Code Execution

Zusammenfassung

Blinko bis einschliesslich Version 1.8.8 enthält einen Directory Traversal-Fehler im Plugin-Installer (plugin.installPlugin). Der Plugin-Name wird unbereinigt zum Aufbau des Installationspfads verwendet, sodass ein Name mit ../-Sequenzen heruntergeladene Dateien ausserhalb des Plugin-Verzeichnisses schreibt. Da das offizielle Docker-Image als root läuft, kann ein authentifizierter Benutzer eine startrelevante Datei überschreiben und Code als root ausführen. Eine Selbstregistrierung kann einem Angreifer das nötige Konto verschaffen.

Betroffen

• Blinko bis einschliesslich 1.8.8
• Offizielles Docker-Image (läuft als root)

Behoben in

Unbekannt.

Umgehung

• Selbstregistrierung deaktivieren und Plugin-Installation auf Administratoren beschränken
• Instanz nicht direkt aus dem Internet erreichbar machen; VPN oder einen Reverse Proxy mit erzwungener SSO-Anmeldung verwenden
• Container als Nicht-root-Benutzer mit nach Möglichkeit schreibgeschütztem Root-Dateisystem betreiben und Schreibzugriff auf das Plugin-Verzeichnis einschränken
• Bestehende Plugin-Installationen prüfen und startrelevante Dateien auf unerwartete Änderungen kontrollieren

Ausnutzung

• Öffentlicher Proof of Concept: ja (Drittanbieter-Repository)
• CISA SSVC: Exploitation poc, Automatisierbar nein, Technische Auswirkung total
• In freier Wildbahn ausgenutzt: kein Nachweis gefunden
• Quellen widersprechen sich zur Verfügbarkeit eines Exploits (VulDB meldet keinen)

Unsere Empfehlung

• Blinko aktualisieren, sobald der Hersteller eine korrigierte Version veröffentlicht; das Update auf 1.8.4 behebt diese CVE nicht
• Die oben genannten Massnahmen sofort umsetzen
• Instanz auf unerwartete Plugins und veränderte startrelevante Dateien prüfen
• Release-Kanal des Herstellers und diesen Tracker auf Updates beobachten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-108980 on OSV osv.dev
• VulDB 416798 vuldb.com
• Vulners CVE record (CVELIST) vulners.com
• Blinko plugin.ts at pinned commit github.com
• Third-party PoC repository github.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:33.