Swetrix Cloud: Fehlende Autorisierung bei der Projektzuordnung zu Organisationen
Zusammenfassung
Swetrix Cloud vor Version 5.1.0 prüft beim Hinzufügen eines Projekts zu einer Organisation nicht, ob der Benutzer das Projekt verwalten darf. Ein authentifizierter Benutzer kann so ein fremdes Projekt anhand seiner öffentlichen Tracking-ID in die eigene Organisation verschieben. Anschliessend kann der Angreifer die Analysedaten lesen, die Projekteinstellungen ändern oder das Projekt löschen.
Betroffen
- Swetrix Cloud-Versionen vor 5.1.0 (CVE-Eintrag: 0 bis vor 5.1.0)
- Self-Hosted Community Edition: Unbekannt.
Behoben in
- Behoben in Swetrix Cloud 5.1.0 (Commit 63eb76edcb446402ad1db5ff870920773f5ff588)
Umgehung
- Für Kunden der Swetrix Cloud: Unbekannt. Der Hersteller spielt den Fix ein.
- Für selbst gehostete Instanzen: Unbekannt. Kein Workaround dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (KEV: nein).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Kunden der Swetrix Cloud: Beim Hersteller bestätigen, dass der Cloud-Dienst gepatcht ist, und das Konto auf unerwartete Projekt- oder Organisationsänderungen prüfen.
- Selbst betriebene Instanzen: Auf 5.1.0 oder neuer aktualisieren und prüfen, welche Benutzer ein Konto auf der Instanz haben.
- Kontoregistrierung nach Möglichkeit auf vertrauenswürdige Benutzer beschränken.
- Änderungen an Projekten und Organisationen in den Audit-Logs überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Linked commit: verify project ownership on org endpoints github.com
- Swetrix release v5.1.0 github.com
- VulnCheck advisory www.vulncheck.com
- CVE record (cvelistV5) raw.githubusercontent.com
- OSV entry osv.dev
- Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:03.
Referenzen der NVD (5)
- https://github.com/Swetrix/swetrix/blob/v5.0.3/backend/apps/cloud/src/project/project.controller.ts#L888-L920
- https://github.com/Swetrix/swetrix/commit/63eb76edcb446402ad1db5ff870920773f5ff588
- https://github.com/Swetrix/swetrix/issues/477
- https://github.com/Swetrix/swetrix/releases/tag/v5.1.0
- https://www.vulncheck.com/advisories/swetrix-cloud-before-5.1.0-missing-authorization-via-post-project-organi…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.