SeriaWei ZKEACMS: Authentifizierungsumgehung über fest codierten JWT-Signierschlüssel
Zusammenfassung
ZKEACMS bis Version 4.4 verwendet für JWT-Bearer-Tokens der REST-API einen fest codierten HMAC-SHA256-Signierschlüssel. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein Token mit dem Name-Claim 'admin' fälschen und API-Endpunkte aufrufen, die eine Autorisierung erfordern. Dadurch lassen sich Artikel und Produkte ändern sowie Formulareingaben auslesen.
Betroffen
- SeriaWei ZKEACMS Versionen 0 bis 4.4 (Standardkonfiguration)
Behoben in
Unbekannt.
Umgehung
- Den Zugriff auf die API-Pfade am Reverse Proxy oder WAF auf vertrauenswürdige Netze oder VPN beschränken oder die Website bis zu einer Korrektur offline nehmen.
- Prüfen, ob das Standardkonto 'admin' noch existiert, und dessen Zugangsdaten ändern.
- Artikel, Produkte und Formulareingaben auf unerwartete Änderungen oder Exporte prüfen.
- Daten, die über das CMS erreichbar sind, als potenziell offengelegt betrachten, bis der Signierschlüssel geändert wurde.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja.
- Öffentliches technisches Material ist vorhanden (GitHub-Issue und Drittanbieter-Beschreibung).
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen, ob eine ZKEACMS-Instanz öffentlich erreichbar ist und welche Version sie einsetzt.
- Die CMS-API bis zu einer korrigierten Version auf vertrauenswürdige Netze beschränken.
- Den fest codierten Signierschlüssel durch ein zufälliges, instanzspezifisches Geheimnis ersetzen, das aus geschützter Konfiguration geladen wird.
- Die Standard-Zugangsdaten des Kontos 'admin' ändern und Logs sowie Inhalte auf unautorisierte Änderungen prüfen.
- Das GitHub-Issue und die Herstellerkanäle auf eine offizielle Korrektur überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Official CVE record / VulnCheck advisory www.vulncheck.com
- ZKEACMS GitHub issue #531 github.com
- JwtBearerDefaults.cs at v4.4 github.com
- BuilderAuthentication.cs at v4.4 github.com
- VulDB CVE-2026-111633 vuldb.com
- Third-party write-up (HackMD) hackmd.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:01.
Referenzen der NVD (7)
- https://github.com/SeriaWei/ZKEACMS/blob/v4.4/src/ZKEACMS/Api/JwtBearerDefaults.cs#L14-L19
- https://github.com/SeriaWei/ZKEACMS/blob/v4.4/src/ZKEACMS/BuilderAuthentication.cs#L41-L52
- https://github.com/SeriaWei/ZKEACMS/issues/531
- https://hackmd.io/@hieuPenguinnn/zkeacms-hardcoded-jwt-signing-key-admin-auth-bypass
- https://www.vulncheck.com/advisories/zkeacms-through-4.4-authentication-bypass-via-hard-coded-jwt-signing-key
- https://github.com/SeriaWei/ZKEACMS/issues/531
- https://hackmd.io/@hieuPenguinnn/zkeacms-hardcoded-jwt-signing-key-admin-auth-bypass
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.