Kan: Server-side Request Forgery im Download-Endpunkt für Anhänge

Zusammenfassung

Kan, eine Open-Source-Anwendung für Projektmanagement, enthält eine Server-side Request Forgery Schwachstelle ohne Authentifizierung im Pfad /api/download/attatchment. Sie ist eine unvollständige Behebung von CVE-2026-32255. Ist S3_ENDPOINT nicht gesetzt, kann ein nicht authentifizierter Angreifer den Server beliebige URLs abrufen lassen, wodurch interne Dienste, Localhost-Ports und Cloud-Metadaten gelesen werden können.

Betroffen

• Kan 0.5.5 bis 0.6.0 (kanbn/kan)
• Relevant, wenn S3_ENDPOINT nicht gesetzt ist

Behoben in

Unbekannt. Für diese CVE ist keine korrigierte Version bestätigt; die Sicherheitsmitteilung GHSA-qrx8-9hc6-jvqg und die Kan-Releases auf eine Version neuer als 0.6.0 prüfen.

Umgehung

• Zugriff auf /api/download/attatchment am Reverse Proxy blockieren oder einschränken, bis eine korrigierte Version bestätigt ist
• Ausgehende Verbindungen des Kan-Servers zu Localhost, privaten Netzen und Metadaten-Adressen blockieren
• Eine generische WAF-Regel ist keine Behebung

Ausnutzung

• Keine Ausnutzung in freier Wildbahn für diese CVE bestätigt
• VulDB listet keinen verfügbaren Exploit
• Für die Vorgängerschwachstelle CVE-2026-32255 existiert ein öffentlicher Proof of Concept, für diese CVE wurde keiner gefunden
• CISA SSVC für die Vorgängerschwachstelle: Ausnutzung keine, automatisierbar ja

Unsere Empfehlung

• Alle Kan-Instanzen erfassen und die installierte Version prüfen
• Den betroffenen Endpunkt am Reverse Proxy einschränken und Kan nach Möglichkeit nicht aus dem Internet erreichbar machen
• Prüfen, ob der Server Cloud-Metadaten-Endpunkte erreichen kann, und dies einschränken
• Zugangsdaten rotieren, auf die der Kan-Server zugreifen kann, falls eine Kompromittierung vermutet wird
• Ausgehenden Verkehr des Servers zu Localhost, privaten Bereichen und Metadaten-Adressen überwachen
• Den Herstellerfix einspielen, sobald eine Version neuer als 0.6.0 bestätigt ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-110628 VulnCheck advisory www.vulncheck.com
• GitHub Security Advisory GHSA-qrx8-9hc6-jvqg github.com
• Kan repository github.com
• Kan pull request 590 github.com
• Kan fix commit 53397d8e github.com
• Kan v0.6.0 attachment download source github.com
• Kan v0.6.0 example environment file github.com
• Atomicorp WAF rule 398022 research.atomicorp.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:36.