Wukong AICRM: Fehlende Autorisierung in Benutzer- und Rollenverwaltungs-APIs

Zusammenfassung

Wukong AICRM bis Version 20260610 prüft bei den APIs zur Verwaltung von Benutzern, Rollen, Abteilungen und Agenten keine Administratorrechte. Jeder authentifizierte Benutzer kann POST-Anfragen senden, zum Beispiel an /managerUser/updateUser, um das Passwort des Administratorkontos zurückzusetzen und sich selbst die Rolle "all" zuzuweisen. Dies führt zur vollständigen Übernahme des Administratorkontos und zur Kontrolle der CRM-Daten.

Betroffen

• Wukong AICRM Versionen 0 bis 20260610 (CNA: VulnCheck; Standardkonfiguration laut CNA-Eintrag nicht betroffen)
• Ausnutzung erfordert ein gültiges Konto mit niedrigen Rechten (beliebiger Login mit Zugriffsrechten)

Behoben in

Unbekannt. Es wurde keine korrigierte Version bestätigt. In OSV ist ein Commit-Verweis hinterlegt (cdd1fbc3187d2bcbf2cdf2be7d50c988959da356), dessen Inhalt und Veröffentlichungsstatus jedoch nicht verifiziert sind.

Umgehung

• Netzwerkzugriff auf die Anwendung auf vertrauenswürdige Benutzer oder VPN beschränken; nicht direkt aus dem Internet erreichbar machen
• Zugriff auf Endpunkte zur Benutzer- und Rollenverwaltung an einem Reverse Proxy oder einer WAF blockieren oder einschränken (vorher testen)
• Selbstregistrierung einschränken und nicht benötigte Konten deaktivieren

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; kein Eintrag im CISA-KEV-Katalog gefunden
• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: nein, technische Auswirkung: total
• Ein öffentlicher Proof of Concept wird von einem Drittanbieter behauptet, konnte aber nicht verifiziert werden

Unsere Empfehlung

• Alle Wukong-AICRM-Instanzen und deren Versionen erfassen
• Zugriff auf die Admin-APIs einschränken und begrenzen, wer Login-Konten besitzt
• Administratorkonto, kürzliche Passwortänderungen und Zuweisungen der Rolle "all" prüfen; nach unbekannten Benutzern, Agenten oder Abteilungen suchen
• Administratorpasswort und KI-Anbieterschlüssel rotieren, falls eine Kompromittierung vermutet wird
• Den Korrekturstand des Herstellers verfolgen und sofort aktualisieren, sobald eine bestätigte korrigierte Version verfügbar ist
• Prüfen, ob die Installation gemäss den Lizenzbedingungen des Herstellers für die kommerzielle Nutzung lizenziert ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• SecurityConfig.java (tag 20260610) github.com
• ManagerUserController.java (tag 20260610) github.com
• ManageUserServiceImpl.java (tag 20260610) github.com
• ManagerRoleServiceImpl.java (tag 20260610) github.com
• HackMD write-up hackmd.io
• Wukong AICRM GitHub repository github.com
• CVE-2026-110207 on Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:21.