Databasus: Authentifizierungsumgehung durch Brute-Force von Passwort-Reset-Codes

Zusammenfassung

Databasus 3.7.0 bis 3.61.0 erlaubt nicht authentifizierten Angreifern, sechsstellige Passwort-Reset-Codes über den API-Endpunkt zum Zurücksetzen des Passworts zu erraten. Die Reset-Codes sind nicht durch Ratenbegrenzung, Sperrung oder Ungültigmachung geschützt. Ein erfolgreicher Angreifer kann Benutzerkonten übernehmen, einschliesslich Administratorkonten, und auf Backup-Konfigurationen und Verbindungseinstellungen zugreifen.

Betroffen

• Databasus 3.7.0 bis 3.61.0
• Versionen nach 3.61.0: Unbekannt.

Behoben in

Unbekannt. Der Hersteller hat zum Zeitpunkt der Erstellung keine korrigierte Version veröffentlicht.

Umgehung

• Die Weboberfläche und die API von Databasus nicht aus dem Internet erreichbar machen; VPN oder einen Reverse Proxy mit IP-Allowlist verwenden.
• Am Reverse Proxy Ratenbegrenzung anwenden oder /api/v1/users/reset-password für nicht vertrauenswürdige Quellen blockieren und prüfen, ob die Regel den API-Pfad abdeckt.
• Logs auf viele POST-Anfragen an den Reset-Endpunkt, unerwartete Passwort-Zurücksetzungen und Anmeldungen aus unbekannten Quellen prüfen.

Ausnutzung

• Eine öffentliche Beschreibung auf HackMD existiert; ihr Inhalt wurde nicht verifiziert.
• VulDB meldet keinen verfügbaren Exploit.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog.
• EPSS-Wert laut Quelle 0.00495 (niedrig).

Unsere Empfehlung

• Prüfen, ob eine Databasus-Instanz in Version 3.7.0 bis 3.61.0 läuft und ob sie aus dem Internet erreichbar ist.
• Netzwerkzugriff auf die Instanz sofort einschränken (VPN oder IP-Allowlist), bis eine Korrektur des Herstellers bestätigt ist.
• Beim Hersteller ein Datum für einen Patch und eine Bestätigung anfragen, ob spätere Versionen betroffen sind; sobald eine korrigierte Version verfügbar ist, umgehend aktualisieren.
• Nach dem Patchen Administrator-Passwörter zurücksetzen, die Benutzerliste prüfen und aktive Sitzungen ungültig machen.
• Logs auf Fluten von Reset-Anfragen und unerwartete Anmeldungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Databasus account takeover via password reset brute-force www.vulncheck.com
• Databasus GitHub repository github.com
• Databasus GitHub security page github.com
• Root cause reference: user_services.go at commit 9ee25ed github.com
• HackMD write-up on password reset code brute-force hackmd.io
• VulDB entry 420333 vuldb.com
• Vulners CVE record CVE-2026-110770 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:24.