course-tencent-cloud: Unzureichende Begrenzung von Authentifizierungsversuchen

Zusammenfassung

course-tencent-cloud bis Version 2.0.1 begrenzt die Anzahl der Versuche bei SMS- und E-Mail-Bestätigungscodes nicht. Die 6-stelligen Codes werden nie ungültig, daher kann ein nicht authentifizierter Angreifer, der Telefonnummer oder E-Mail-Adresse eines Opfers kennt, einen Code durchprobieren und das Konto übernehmen. Der Angriff funktioniert gegen die Endpunkte für Passwort-Zurücksetzung und Login-Verifizierung, und der Angreifer kann Quell-IP-Adressen wechseln, um einfache IP-basierte Limiten zu umgehen.

Betroffen

• xiaochong0302 course-tencent-cloud, Versionen 0 bis 2.0.1 (inklusive)
• Laut CVE-Eintrag ist die Standardkonfiguration nicht betroffen; betroffen sind Installationen mit dem verwundbaren Code

Behoben in

Unbekannt. Es wurde noch keine korrigierte Version oder Sicherheitsmitteilung des Herstellers veröffentlicht.

Umgehung

• Keine Herstellerhinweise gefunden.
• Serverseitige Versuchsbegrenzungen pro Konto einführen und einen Code nach einigen Fehleingaben ungültig machen.
• Anfragen pro Zielkonto und Telefonnummer oder E-Mail-Adresse begrenzen, nicht nur pro IP-Adresse.
• Gültigkeitsdauer der Codes verkürzen und bei wiederholten Zurücksetzungs- oder Verifizierungsanfragen für ein Konto alarmieren.
• Login- und Zurücksetzungs-Endpunkte nach Möglichkeit mit MFA oder einem Identity Provider absichern.
• Eine WAF- oder Reverse-Proxy-Regel kann nur als vorübergehende Massnahme dienen.

Ausnutzung

• Die CISA-SSVC-Daten führen den Ausnutzungsstatus als poc (öffentlicher Proof of Concept verfügbar); automatisierbar: nein; technische Auswirkung: total.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.
• Ein Aggregator führt die CVE als nicht in KEV.

Unsere Empfehlung

• Alle Installationen von course-tencent-cloud inklusive Docker-Images identifizieren und die Version prüfen.
• Prüfen, ob Login- und Passwort-Zurücksetzungs-Endpunkte aus dem Internet erreichbar sind.
• Serverseitige Versuchsbegrenzungen umsetzen oder den Dienst bis zu einer Korrektur ausser Betrieb nehmen.
• Das Projekt-Repository und den CVE-Eintrag auf eine Korrektur überwachen und bei fehlendem Patch eine Migration planen.
• Kontoaktivitäten auf unerwartete Passwort-Zurücksetzungen prüfen, da eine Kontoübernahme Administratorkonten und Personendaten betreffen kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• Verify.php at v2.0.1 github.com
• PasswordReset.php at v2.0.1 github.com
• VulDB CVE-2026-111675 vuldb.com
• CVE record (CVelistV5 JSON) raw.githubusercontent.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:24.