xxyopen novel: Schwache Passwort-Hashbildung mit ungesalzenem MD5
Zusammenfassung
xxyopen novel bis Version 3.5.0 speichert Benutzerpasswörter bei der Registrierung als ungesalzene MD5-Digests (CWE-916). Ein Angreifer, der die Benutzertabelle erlangt, zum Beispiel durch einen Datenbankleak oder ein offen zugängliches Backup, kann diese Hashes mit vorberechneten Tabellen oder GPU-Brute-Force knacken und Klartext-Passwörter wiederherstellen. Die wiederhergestellten Zugangsdaten können anschliessend auf anderen Diensten wiederverwendet werden.
Betroffen
- xxyopen novel 0 bis 3.5.0 (gemäss CNA VulnCheck; Standard: nicht betroffen)
Behoben in
- Versionsnummer unbekannt.
- Fix-Commit fa82ce7 (Merge von Pull Request #53) stellt neue Passwörter auf BCrypt um und migriert bestehende MD5-Hashes beim Login auf BCrypt. Prüfen Sie das Repository auf ein Release, das diesen Commit enthält.
Umgehung
- Zugriff auf die Datenbank und die Backups einschränken und überwachen, da der Angriff davon abhängt.
- Gespeicherte Hashes auf BCrypt migrieren, zum Beispiel mit dem Upgrade-beim-Login-Ansatz aus Pull Request #53.
- Keine eigene Passwort-Hashbildung verwenden; eine aktuelle, gepflegte Bibliothek einsetzen.
Ausnutzung
- CISA SSVC stuft die Ausnutzung als 'poc' (Proof of Concept) ein; Automatable: no.
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- Die Ausnutzung setzt einen Datenbankleak oder ein offen zugängliches Backup voraus.
Unsere Empfehlung
- Falls novel öffentlich betrieben wird, prüfen Sie, ob Version 3.5.0 oder älter läuft oder eine Version ohne Commit fa82ce7.
- Auf eine Version mit dem BCrypt-Fix aktualisieren oder die Änderung manuell übernehmen.
- Passwort-Zurücksetzung für Konten erzwingen, die vor dem Fix erstellt wurden, und Benutzende bitten, Passwörter nicht wiederzuverwenden.
- Datenbank-Backups schützen und Zugriffe darauf überwachen.
- Falls das Projekt nur eine Demo ist, entfernen Sie es oder deaktivieren Sie die öffentliche Registrierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OSV record CVE-2026-110104 osv.dev
- VulnCheck advisory: novel through 3.5.0 Unsalted MD5 Password Storage www.vulncheck.com
- Affected code: UserServiceImpl.java at v3.5.0 github.com
- Fix commit fa82ce7 (merge of pull request #53) github.com
- Pull request #53: BCrypt password hashing github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:31.
Referenzen der NVD (5)
- https://github.com/201206030/novel/blob/v3.5.0/src/main/java/io/github/xxyopen/novel/service/impl/UserService…
- https://github.com/201206030/novel/commit/fa82ce7e426a5b29db469b8f13d2e29fc1260871
- https://github.com/201206030/novel/pull/53
- https://www.vulncheck.com/advisories/novel-through-3.5.0-unsalted-md5-password-storage
- https://github.com/201206030/novel/pull/53
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.