cool-admin-midway: Umgehung der Autorisierung über Benutzer-IDs in Admin-Endpunkten

Zusammenfassung

cool-admin-midway bis einschliesslich 8.0.0 prüft die Abteilungseinschränkung bei den übergebenen Benutzer-IDs der Endpunkte /admin/sys/user nicht. Ein abteilungsbeschränkter Admin mit sys:user:*-Berechtigungen kann Benutzer ausserhalb seiner Abteilung lesen, ändern oder löschen. Dadurch sind Passwort- und Rollenänderungen sowie Kontolöschungen möglich, was zu einer Kontoübernahme, auch von anderen Administratoren, führen kann.

Betroffen

• cool-admin-midway Versionen 0 bis 8.0.0 (inklusive)
• Endpunkte: /admin/sys/user/info, /admin/sys/user/update, /admin/sys/user/delete
• Angreifer benötigt ein authentifiziertes Konto mit sys:user:*-Berechtigungen

Behoben in

• Unbekannt. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und keine Herstellerwarnung gefunden.

Umgehung

• Sys:user:*-Berechtigungen bei Abteilungsadministratoren entfernen, die diese nicht benötigen.
• Zugriff auf das Admin-Panel und die API auf VPN, interne Netze oder eine IP-Allowlist beschränken; nicht direkt aus dem Internet erreichbar machen.
• MFA für Admin-Konten am Reverse Proxy oder auf SSO-Ebene erzwingen.

Ausnutzung

• CISA SSVC (Vulnrichment): Ausnutzungsstatus 'poc', automatisierbar 'no', technische Auswirkung 'total'.
• Eine öffentliche Beschreibung existiert; deren Inhalt konnte nicht verifiziert werden.
• Nicht in der CISA KEV gelistet; keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Eine Authentifizierung mit sys:user-Berechtigungen ist erforderlich.

Unsere Empfehlung

• Prüfen, ob cool-admin-midway im Einsatz ist und ob die Admin-Oberfläche von aussen erreichbar ist.
• Beim Hersteller nachfragen oder das GitHub-Repository auf einen Fix überwachen und sofort aktualisieren, sobald eine Korrektur verfügbar ist.
• Sys:user-Berechtigungen und Admin-Konten überprüfen; nicht benötigte Rechte entfernen.
• Erstellen, Ändern und Löschen von Benutzern sowie Passwort- und Rollenänderungen unter /admin/sys/user/* protokollieren und prüfen.
• Die oben genannten Workarounds anwenden, bis eine Korrektur verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Vulnerable code (user.ts at referenced commit) github.com
• GitHub repository cool-admin-midway github.com
• HackMD write-up hackmd.io
• OpenCVE CVE-2026-111366 app.opencve.io
• VulnCheck related advisory (role endpoints) www.vulncheck.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:56.