fuint: Fehlende Authentifizierung in Bestell-API legt Mitgliederdaten offen

Zusammenfassung

fuint bis Commit 4c4bc8a enthält eine fehlende Authentifizierung im Endpunkt /clientApi/order/detail. Ein nicht authentifizierter Angreifer kann sequenzielle Bestell-IDs durchprobieren und Käufernamen, Nummern der nationalen ID, Telefonnummern, Adressen, WeChat-openIds und Verifizierungscodes abrufen. Der Angriff erfordert nur Netzwerkzugriff auf die Anwendung und keine Benutzerinteraktion.

Betroffen

• fuint bis Commit 4c4bc8a68e0a93d37c37ab374f72d64728c9e5f8
• Betroffener Code gemäss CVE-Referenzen: WebConfig.java (Zeilen 80-101) und ClientOrderController.java (Zeilen 77-80)
• Hinweis: Die CVSS-Werte unterscheiden sich je nach Quelle (8.7 CVSS 4.0 im CVE-Eintrag, 7.5 CVSS 3.1 bei Strix, 5.3 bei VulDB)

Behoben in

Unbekannt.

Umgehung

• Authentifizierung für /clientApi/order/** an einem Reverse Proxy, API-Gateway oder WAF erzwingen
• API-Oberfläche auf vertrauenswürdige Netze oder VPN beschränken, sofern das Mini-Programm keinen öffentlichen Zugriff benötigt
• Interceptor-Konfiguration in WebConfig.java für den Endpunkt prüfen und nach jeder Änderung verifizieren

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Ein Drittanbieter-Beitrag auf HackMD ist im CVE-Eintrag aufgeführt; dessen Inhalt konnte nicht geprüft werden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Prüfen, ob eine fuint-Instanz im Einsatz ist und ob sie aus dem Internet erreichbar ist.
• Falls exponiert, die oben genannte Gateway-Einschränkung umgehend anwenden.
• Upstream-Repository auf eine Korrektur prüfen und nach neuen Commits neu beurteilen.
• Zugriffsprotokolle auf Aufzählung von Bestelldetail-Anfragen prüfen.
• Bei möglicher Exposition die Ansprechperson für Datenschutz einbeziehen, da nach dem revidierten Schweizer DSG Personendaten betroffen sein können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-110128 WebConfig.java at commit 4c4bc8a github.com
• CVE-2026-110128 ClientOrderController.java at commit 4c4bc8a github.com
• VulnCheck advisory: fuint missing authentication via clientApi order detail www.vulncheck.com
• Third-party write-up: fuint order detail unauthenticated IDOR hackmd.io
• OSV: CVE-2026-110128 osv.dev
• VulDB entry 417825 vuldb.com
• Strix: CVE-2026-110128 www.strix.ai
• fuint project repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:25.