MacCMS: Kontoübernahme durch Brute-Force des Passwort-Wiederherstellungscodes

Zusammenfassung

MacCMS v10 bis einschliesslich 2026.1000.4056 begrenzt die Anzahl der Versuche für den sechsstelligen Passwort-Wiederherstellungscode nicht. Ein nicht authentifizierter Angreifer, der die E-Mail-Adresse oder Telefonnummer eines Mitglieds kennt, kann einen Code anfordern und die Funktion findpass_reset per Brute-Force angreifen, um das Passwort des Mitglieds zu überschreiben und das Konto zu übernehmen. Der Angriff erfolgt aus der Ferne und erfordert keine Anmeldung, setzt aber voraus, dass der Angreifer die Kontaktdaten des Opfers kennt und Zeit für das Ausprobieren der Codes hat.

Betroffen

• magicblack MacCMS v10, alle Versionen bis einschliesslich 2026.1000.4056
• Komponente: Funktion zur Passwort-Wiederherstellung findpass_reset

Behoben in

Unbekannt. Es wurde uns keine korrigierte Version bekannt. Eine Korrektur muss in einer Version nach 2026.1000.4056 erscheinen.

Umgehung

• Passwort-Wiederherstellung für Mitglieder deaktivieren, falls sie nicht benötigt wird.
• Ratenbegrenzung und temporäre Sperren für den Wiederherstellungs-Endpunkt und die Eingabe der Codes am Reverse Proxy oder WAF einrichten (eigene Empfehlung, keine Herstellervorgabe).
• Wiederherstellungscodes kurzlebig und einmalig verwendbar gestalten, sofern die Anwendung dies konfigurieren lässt.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: Ein öffentlicher Beschrieb existiert; dessen Inhalt wurde nicht überprüft.
• CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar.
• EPSS 0.00448 (niedrig).

Unsere Empfehlung

• Prüfen Sie, ob Ihre MacCMS-Installation aus dem Internet erreichbar ist und Mitgliedskonten besitzt; ist dies der Fall, behandeln Sie die Lücke mit hoher Priorität.
• Passwort-Wiederherstellung deaktivieren oder Ratenbegrenzung und Sperren für den Wiederherstellungs-Endpunkt einrichten, bis eine korrigierte Version verfügbar ist.
• Protokolle auf Serien von Wiederherstellungsanfragen und Passwortänderungen überwachen und betroffene Mitglieder informieren, falls unerklärliche Aktivitäten auftreten.
• Administratorkonten mit separaten Zugangsdaten führen und wo möglich MFA aktivieren.
• Die gesamte Installation prüfen, da im selben Produkt verwandte Probleme (CVE-2026-116215, CVE-2026-116216) gemeldet wurden.
• Vor dem Schliessen dieses Tickets das magicblack-Repository und die NVD auf eine korrigierte Version prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• MacCMS GitHub repository github.com
• Affected code User.php (v2026.1000.4056) github.com
• Public write-up (HackMD) hackmd.io
• VulDB entry 420991 vuldb.com
• VulnCheck Vulnrichment record vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:27.