Webreaper Damselfly: Fehlende Authentifizierung an REST-API-Controllern

Zusammenfassung

Damselfly, ein selbst gehostetes System zur Fotoverwaltung, prüft bis Version 4.5.3 die Berechtigung für seine /api/*-Routen nicht, weil die Autorisierungsattribute der Controller auskommentiert sind. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über PUT /api/users Administratorkonten anlegen oder über POST /api/users das Passwort beliebiger Benutzer zurücksetzen, was die volle Kontrolle über die Anwendung ergibt. Der Angriff benötigt keine Zugangsdaten und ist überall möglich, wo der Dienst von ausserhalb des internen Netzwerks erreichbar ist.

Betroffen

• Webreaper Damselfly bis und mit 4.5.3
• Laut CVE-Eintrag sind die Versionen 0 bis 4.5.3 betroffen; keine Version ist als behoben bestätigt.

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde weder ein Herstellerpatch noch eine Release-Notiz oder Advisory mit einer behobenen Version gefunden.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Zugriff auf /api/* am Reverse Proxy oder an der Firewall auf vertrauenswürdige Administratornetze beschränken.
• Direkte Internetexposition entfernen und den Dienst hinter ein VPN oder eine Zero-Trust-Zugriffsschicht stellen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Nicht in der CISA KEV gelistet; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• VulDB gibt an, dass zum Zeitpunkt der Recherche keine technischen Details oder Exploits öffentlich verfügbar waren; ein Beitrag eines Drittanbieters existiert, wurde aber nicht verifiziert.

Unsere Empfehlung

• Prüfen, ob Damselfly aus dem Internet erreichbar ist, und falls ja, den Zugriff sofort einschränken.
• Benutzerliste auf unbekannte Administratorkonten und unerwartete Passwort-Zurücksetzungen prüfen; bei Funden die Instanz als kompromittiert behandeln, aus einer bekannt guten Kopie neu aufsetzen und alle Zugangsdaten rotieren.
• Logs ab dem 16. Oktober 2026 auf nicht authentifizierte Anfragen an /api/users prüfen.
• Das Herstell-Repository auf ein behobenes Release überwachen und so bald wie möglich aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record: UserManagementController.cs (4.5.3) github.com
• CVE record: Program.cs (4.5.3) github.com
• Damselfly GitHub issue #409 github.com
• VulnCheck advisory www.vulncheck.com
• VulDB entry CVE-2026-111626 vuldb.com
• Strix CVE overview www.strix.ai
• Damselfly releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:28.