WIMOOR ERP: Authentifizierungsumgehung über gefälschten X-USERINFO-Header

Zusammenfassung

WIMOOR, ein Open-Source-ERP für Amazon-Händler, vertraut dem Header X-USERINFO, den normalerweise das Gateway setzt, und die Backend-Dienste prüfen ihn nicht. Ein Angreifer, der einen Backend-Dienstport direkt unter Umgehung des Gateways erreicht, kann die Mandanten-ID (companyid) und die Berechtigungsstufe (usertype) fälschen und so als beliebiger Mandant oder Administrator handeln. Dadurch können Bestellungen, Finanzdaten und Amazon-Seller-Autorisierungen anderer Mandanten eingesehen oder verändert werden. Der CVE-Eintrag und der referenzierte Code betreffen den Commit ec86736 und frühere Stände; eine korrigierte Version ist nicht bekannt.

Betroffen

• WIMOOR bis und mit Commit ec86736beb1a3b9ca6ba0d1c48a1c415445b8dc4 (Standardbranch main, kein Release-Tag)
• CNA-Daten: wimoor-erp / wimoor, Versionen <= ec86736beb1a3b9ca6ba0d1c48a1c415445b8dc4
• Betroffene Komponente: common-mvc UserInfoFilter (wimoor-common) und die Kopie des Filters im Werbedienst

Behoben in

Unbekannt.

Umgehung

• Backend-Dienstports nicht in unvertrauenswürdigen Netzen erreichbar machen; nur das Gateway darf von aussen erreichbar sein.
• Das Gateway so konfigurieren, dass vom Client gesendete X-USERINFO-Header vor der Weiterleitung entfernt oder überschrieben werden (Empfehlung auf Basis der Ursache, keine Massnahme des Herstellers).
• Jede selbst betriebene WIMOOR-Instanz als ungepatcht behandeln, bis eine korrigierte Version bestätigt ist.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Keine Hinweise auf aktive Ausnutzung oder einen Eintrag im CISA KEV gefunden.
• Öffentlicher Proof of Concept: unklar, nicht verifiziert.

Unsere Empfehlung

• Prüfen, ob WIMOOR in der Umgebung eingesetzt wird, einschliesslich gehosteter oder von Dritten betriebener Instanzen.
• Sicherstellen, dass Backend-Dienstports nicht aus dem Internet oder aus unvertrauenswürdigen Netzen erreichbar sind und nur das Gateway exponiert ist.
• Die Filterung des Headers am Gateway als Übergangsmassnahme umsetzen.
• Beim Hersteller eine korrigierte Version oder einen Zeitplan für einen Patch anfragen und das GitHub-Repository auf spätere Commits prüfen.
• Logs auf Anfragen an Backend-Dienste überwachen, die nicht über das Gateway kommen, sowie auf unerwartete mandantenübergreifende Datenzugriffe.
• Zugangsdaten für Amazon-Seller-Autorisierungen erneuern, wenn eine Kompromittierung nicht ausgeschlossen werden kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vulnerable code: UserInfoFilter.java (commit ec86736) github.com
• HackMD write-up: trusted X-USERINFO header hackmd.io
• VulnCheck advisory www.vulncheck.com
• VulDB: CVE-2026-111691 vuldb.com
• Strix: CVE-2026-111691 www.strix.ai
• PT vulners aggregation: PT-2026-116090 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:24.