SurveyKing: Fehlende Autorisierung erlaubt Datei-Download ohne Anmeldung

Zusammenfassung

SurveyKing, eine selbst gehostete Plattform für Umfragen und Prüfungen, enthält eine fehlende Autorisierungsprüfung im öffentlichen Vorschau-Endpunkt. Ein nicht authentifizierter Angreifer, der die zeitlich geordnete Datei-ID kennt oder ableiten kann, kann gespeicherte Dateien herunterladen, darunter private Umfragenanhänge und Uploads von Teilnehmenden, weil die Prüfungen für Besitz, Freigabe und Projekt umgangen werden. Für den Angriff ist kein Konto nötig, wohl aber eine gültige Datei-ID.

Betroffen

• SurveyKing-Versionen vor 1.13.0 (betroffener Bereich 0 bis < 1.13.0, gemäss CVE-Eintrag)

Behoben in

• Behoben in SurveyKing 1.13.0 (Fix-Commit 9489171d53e55ace2856a91af38034665c0064a4)
• Eine Rückportierung auf frühere Versionen ist nicht bekannt.

Umgehung

• Den Zugriff auf die Instanz einschränken (VPN, IP-Allowlist oder authentifizierter Reverse Proxy), bis das Update abgeschlossen ist.
• Ein Drittanbieter schlägt vor, den Pfad /api/public/preview in einer Web Application Firewall zu blockieren, sofern keine gültige Sitzung vorhanden ist. Dies ist keine Empfehlung des Herstellers, und die Wirksamkeit ist nicht verifiziert.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden; der Status im CISA KEV wurde nicht geprüft.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
• Drittanbieter-Beschreibungen existieren, ihr Inhalt konnte jedoch nicht verifiziert werden.
• EPSS 0.00385 (niedrig).

Unsere Empfehlung

• Prüfen, ob SurveyKing installiert ist und welche Version läuft; auf 1.13.0 oder neuer aktualisieren.
• Falls die Instanz aus dem Internet erreichbar ist und nicht öffentlich benötigt wird, den Zugriff sofort einschränken.
• Prüfen, welche Dateien gespeichert sind und ob sie Personendaten enthalten; bei bestätigter Exposition datenschutzrechtliche Pflichten abklären.
• Zugriffsprotokolle auf ungewöhnliche Anfragen an /api/public/preview prüfen.
• Es existieren mehrere öffentliche Forks; sicherstellen, dass der eingesetzte Build die Korrektur enthält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-111646 on VulDB vuldb.com
• Strix CVE-2026-111646 www.strix.ai
• VulnCheck advisory www.vulncheck.com
• Fix commit 9489171d github.com
• SurveyApi.java (vulnerable preview endpoint) github.com
• FileServiceImpl.java (loadFile) github.com
• SurveyKing on GitHub github.com
• OSV CVE-2026-111646 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:52.