ThinkCMF: Unzureichende Autorisierung in der Admin-REST-API

Zusammenfassung

ThinkCMF bis einschliesslich 8.0.1 enthält eine fehlerhafte Autorisierung in der Admin-REST-API. Die Berechtigungsprüfung lässt Zugriffe zu, wenn keine admin_api-Regel existiert, sodass eingeschränkte Backend-Administratoren Admin-Endpunkte über ihre Rechte hinaus aufrufen können. Ein Angreifer mit einem gültigen API-Token vom Typ Admin kann E-Mail-Adressen und Mobilnummern von Mitgliedern auslesen, Mitglieder deaktivieren und den Endpunkt zur Rollenautorisierung aufrufen, um sich vollständige Administratorrechte zu verschaffen.

Betroffen

• ThinkCMF bis einschliesslich 8.0.1
• Betroffene Komponente: RestAdminBaseController und Auth::check() (Referenzen cmf-core und cmf-api)
• Genaue obere Grenze unklar: Die Referenzen verweisen auf cmf-core v8.0.3 und cmf-api v8.0.7

Behoben in

Unbekannt. Der Hersteller hat noch keine korrigierte Version bestätigt.

Umgehung

• Keine vom Hersteller veröffentlichte Gegenmassnahme gefunden.
• Den Zugriff auf das Admin-Backend und dessen API auf Management-IP-Bereiche oder VPN beschränken.

Ausnutzung

• Eine technische Beschreibung ist öffentlich verfügbar; ein Aggregator meldet keinen öffentlichen PoC, was nicht verifiziert ist.
• Die CISA-SSVC-Bewertung nennt Exploitation: PoC und Automatisierbarkeit: nein.
• Nicht im CISA-KEV-Katalog. Bekannte Ausnutzung in freier Wildbahn: nichts bestätigt.

Unsere Empfehlung

• Prüfen, ob ThinkCMF 8.0.1 oder älter im Einsatz ist, einschliesslich der Erreichbarkeit der Admin-API.
• Alle API-Token vom Typ Admin inventarisieren und nicht benötigte widerrufen.
• Administrative Rollenzuweisungen überprüfen und Logs auf Aufrufe des Endpunkts zur Rollenautorisierung sowie auf massenhafte Abfragen von Mitgliederdaten prüfen.
• Administratorkonten auf betroffenen Instanzen bis zu einer korrigierten Version als möglicherweise überprivilegiert behandeln.
• Den Hersteller nach einer korrigierten Version fragen und diese nach Veröffentlichung umgehend einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-111352 advisory by VulnCheck www.vulncheck.com
• cmf-core RestAdminBaseController (v8.0.3) github.com
• cmf-core Auth.php (v8.0.3) github.com
• cmf-api RoleController.php (v8.0.7) github.com
• Third-party technical write-up (hackmd) hackmd.io
• VulDB CVE-2026-111352 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:24.