WeRSS (we-mp-rss): Unauthentifizierte Remote Code Execution über Template-Parameter

Zusammenfassung

WeRSS (we-mp-rss) bis Version 1.5.3 erlaubt unauthentifizierten Angreifern, über den Template-Parameter des öffentlichen Endpunkts GET /rss/{feed_id} Betriebssystembefehle auf dem Server auszuführen. Der Angreifer übergibt einen präparierten Template-Ausdruck, dessen Traversierung über Objekt-Unterklassen die eval-Sperrliste umgeht, sodass der Code mit dem Dienstkonto läuft. Der CVSS-4.0-Score beträgt 9.3 (kritisch), und CISA-SSVC-Daten verweisen auf einen öffentlich verfügbaren Proof of Concept.

Betroffen

• rachelos we-mp-rss, Versionen 0 bis 1.5.3 (CVE-Eintrag)
• Docker-Image ghcr.io/rachelos/we-mp-rss, Standardport 8001, sofern eine betroffene Version läuft

Behoben in

• Unbekannt. Es ist keine upstream-Version mit Korrektur bestätigt.
• Ein Fork von Drittanbietern (Aquarius-Situla we-feed, Pull Request 4) entfernt den Template-Parameter; dies ist kein Herstellerpatch.

Umgehung

• Den Dienst nicht direkt aus dem Internet erreichbar machen; ihn hinter ein VPN oder einen authentifizierten Reverse Proxy stellen.
• Den Template-Parameter auf dem Pfad /rss/ am Reverse Proxy oder WAF blockieren. Dies ist eine Massnahme, kein verifizierter Fix.
• Den Container mit minimalen Rechten betreiben (nicht als root, nach Möglichkeit mit schreibgeschütztem Dateisystem) und Geheimnisse nicht in der Umgebung des Containers ablegen.

Ausnutzung

• Unauthentifiziert, über das Netzwerk erreichbar, geringe Komplexität, keine Benutzerinteraktion erforderlich.
• CISA SSVC (via VulnCheck/Vulnrichment): Exploitation-Status 'poc', automatisierbar: ja.
• Eine öffentliche Beschreibung existiert; eine Ausnutzung in freier Wildbahn ist nicht bestätigt.

Unsere Empfehlung

• Alle we-mp-rss-Instanzen inventarisieren, einschliesslich Forks und Docker-Images, und prüfen, ob sie aus dem Internet erreichbar sind.
• Den Zugriff einschränken oder betroffene Instanzen ausser Betrieb nehmen, bis eine korrigierte upstream-Version bestätigt ist.
• Den Template-Parameter auf /rss/ am Reverse Proxy als Übergangsmassnahme blockieren.
• Logs auf Anfragen mit Template-Parameter auf /rss/ prüfen und den Container auf unerwartete Prozesse oder ausgehende Verbindungen kontrollieren.
• Das upstream-Projekt und den NVD-Eintrag auf eine Korrektur und Analyse-Aktualisierung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Official CVE record references: rss.py at v1.5.3 github.com
• template_parser.py at v1.5.3 github.com
• HackMD write-up: WeRSS RSS template unauthenticated SSTI RCE hackmd.io
• VulnCheck advisory: WeRSS through 1.5.3 RCE via template parameter www.vulncheck.com
• CVE record JSON (CVEProject cvelistV5) raw.githubusercontent.com
• Vulners PT-2026-116086 vulners.com
• Fork fix pull request (third-party): we-feed PR 4 github.com
• rachelos we-mp-rss GitHub repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:26.