LogicalDOC Community Edition: Code-Injection über Velocity-Templates in E-Mail-Funktion

Zusammenfassung

LogicalDOC Community Edition bis einschliesslich 9.3 enthält eine Code-Injection-Schwachstelle (CWE-94) in der Funktion DocumentService.sendAsEmail. Ein authentifizierter Benutzer kann Velocity-Templates in den Feldern Betreff oder Nachricht übermitteln und die Denylist umgehen, die die Laufzeitnutzung einschränkt. Dadurch lassen sich Betriebssystembefehle mit den Rechten des LogicalDOC-Prozesses ausführen. Das Risiko ist bei internetexponierten oder mehrbenutzerfähigen Instanzen am grössten, da nur ein Konto mit niedrigen Rechten benötigt wird.

Betroffen

• LogicalDOC Community Edition 0 bis einschliesslich 9.3 (gemäss CVE-Eintrag und VulnCheck)
• Ob auch 9.3.1 betroffen ist, ist nicht bestätigt

Behoben in

• Unbekannt. Der Hersteller hat noch keine bestätigte korrigierte Version veröffentlicht.
• Ein Patch-Commit (66c3a6b9) wird referenziert, sein Inhalt konnte jedoch nicht überprüft werden.

Umgehung

• Keine vom Hersteller bestätigte Massnahme. Eine Drittquelle empfiehlt, die Velocity-Verarbeitung von Benutzereingaben zu vermeiden (nicht verifiziert).
• Einschränken, welche Konten die E-Mail-, Template- und Automatisierungsfunktionen nutzen dürfen.
• Die DMS-Weboberfläche nicht direkt ins Internet exponieren; VPN oder einen authentifizierenden Reverse Proxy verwenden.
• Den Dienst unter einem eingeschränkten Dienstkonto betreiben.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt; es ist keine bekannte Ausnutzung gemeldet.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Technische Details sind öffentlich in einer GitHub-Diskussion des Finders verfügbar.
• Ein öffentlicher Proof of Concept wird von einem Aggregator erwähnt, wurde jedoch nicht verifiziert.

Unsere Empfehlung

• Alle LogicalDOC-Community-Edition-Instanzen und deren Versionen erfassen.
• Zugriff sofort einschränken: internetseitige Erreichbarkeit entfernen und Konten mit E-Mail- und Template-Rechten begrenzen.
• Auf unerwartete Kindprozesse des Java-Dienstes achten.
• Vor jedem Upgrade ein überprüftes Backup erstellen.
• Sobald eine vom Hersteller bestätigte korrigierte Version verfügbar ist, auf diese aktualisieren; GitHub-Kanäle und Herstellerkanäle von LogicalDOC beobachten.
• Priorität: hoch für internetexponierte oder mehrbenutzerfähige Instanzen, mittel für interne Instanzen mit vertrauenswürdigen Benutzern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• LogicalDOC GitHub discussion 119 (finder's technical details) github.com
• SystemTool.java at tag 9.3 github.com
• DocumentServiceImpl.java at tag 9.3 github.com
• Patch commit 66c3a6b9 (unverified content) github.com
• OpenCVE CVE-2026-109199 app.opencve.io
• VulDB entry 416929 vuldb.com
• Aggregator status page (hol.org) hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:54.