Huly Platform: Fehlende Autorisierung in mergeSpecifiedPersons-RPC ermöglicht Kontoübernahme
Zusammenfassung
Huly Platform bis Version 0.7.432 prüft in der Account-RPC mergeSpecifiedPersons die Autorisierung nicht. Jeder authentifizierte Benutzer, der die UUIDs zweier Personen kennt, kann diese zusammenführen und dabei vom Angreifer kontrollierte, nicht verifizierte Social IDs an den Personendatensatz eines Opfers anhängen. Anschliessend kann der Angreifer über Login oder Passwort-Wiederherstellung das Konto des Opfers übernehmen.
Betroffen
- Huly Platform bis 0.7.432 (hcengineering/platform)
Behoben in
- Unbekannt. Die Korrektur wird im Commit afe11fa und im GitHub-Issue #10914 referenziert, die Version des Fixes konnte jedoch nicht bestätigt werden.
Umgehung
- Keine bekannte Workaround-Lösung des Herstellers.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
- EPSS 0.00238 (geringe prognostizierte Wahrscheinlichkeit).
- Ein HackMD-Bericht wird referenziert; dessen Inhalt wurde nicht verifiziert.
Unsere Empfehlung
- Prüfen Sie, ob auf Ihrer Instanz Huly Platform 0.7.432 oder älter läuft, insbesondere bei selbst gehosteten Instanzen.
- Aktualisieren Sie auf die neueste Huly-Version, sobald die Fix-Version aus dem Herstellen-Commit bestätigt ist.
- Beschränken Sie bis zur Korrektur, wer Konten erstellen kann, da der Angriff einen gültigen Login voraussetzt.
- Prüfen Sie letzte Personen-Zusammenführungen und unerwartete Social IDs, insbesondere bei Administratorkonten.
- Erzwingen Sie starke, eindeutige Passwörter und aktivieren Sie verfügbare zweite Faktoren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Huly Platform merge persons source (v0.7.432) github.com
- Fix commit afe11fa github.com
- GitHub issue #10914 github.com
- HackMD write-up hackmd.io
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-111606 osv.dev
- VulDB entry 421372 vuldb.com
- CNNVD entry CNNVD-2026-86174850 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:53.
Referenzen der NVD (5)
- https://github.com/hcengineering/platform/blob/v0.7.432/server/account/src/operations.ts#L2921-L2939
- https://github.com/hcengineering/platform/commit/afe11faec1b56f278c0882355a69b08cff1eebd9
- https://github.com/hcengineering/platform/issues/10914
- https://hackmd.io/@hieuPenguinnn/huly-platform-merge-specified-persons-missing-authorization
- https://www.vulncheck.com/advisories/huly-platform-through-0.7.432-account-takeover-via-mergespecifiedpersons…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.