WhaTicket Community: Authentifizierungsumgehung mit Admin-Selbstregistrierung

Zusammenfassung

WhaTicket Community, ein Open-Source-Ticketsystem für WhatsApp, enthält bis Commit cf04795 eine Authentifizierungsumgehung in POST /auth/signup. Ein nicht authentifizierter Angreifer kann ein neues Konto mit Administratorrechten registrieren, indem er das Feld profile weglässt oder auf admin setzt. Dadurch erhält er Zugriff auf die Benutzerverwaltung, die Einstellungen, alle Tickets, Kontakte, Nachrichten und verknüpften WhatsApp-Verbindungen. Es sind weder Anmeldung noch Benutzerinteraktion nötig, daher sind aus dem Internet erreichbare Instanzen am stärksten gefährdet.

Betroffen

• canove WhaTicket Community (whaticket-community), alle Versionen bis Commit cf047955a6f0d07002ed89c67d765c28d06f8d52
• Betroffener Code: backend/src/controllers/UserController.ts und backend/src/services/UserServices/CreateUserService.ts
• CVSS v4.0 9.3 (Kritisch) laut CNA-Eintrag; VulDB nennt stattdessen 7.3 und CWE-287

Behoben in

Unbekannt. Es wurde weder eine korrigierte Version noch ein Fix-Commit veröffentlicht, und das Projekt hat keine Releases.

Umgehung

• Öffentlichen Zugriff auf POST /auth/signup am Reverse Proxy oder an der Firewall blockieren oder einschränken (keine Herstelleraussage)
• Administrative Funktionen, Einstellungen und WhatsApp-Verbindungen auf interne Netze oder VPN beschränken
• Standardpasswörter und JWT-Secrets von den Standardwerten ändern

Ausnutzung

• CISA SSVC: Ausnutzung Stufe PoC, automatisierbar: ja, technische Auswirkung: total
• Ein öffentlicher Bericht existiert (HackMD); dessen Inhalt wurde nicht unabhängig geprüft
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden; als unbekannt und nicht als ausgeschlossen behandeln

Unsere Empfehlung

• Alle WhaTicket-Community-Instanzen inventarisieren und prüfen, ob der Signup-Endpunkt aus dem Internet erreichbar ist
• /auth/signup und administrative Funktionen blockieren oder einschränken, bis eine korrigierte Version bestätigt ist
• Benutzerkonten auf unerwartete Administratoren prüfen und Admin-Zugangsdaten und Token erneuern
• Die Community-Version nicht aus dem Internet erreichbar betreiben, solange kein Fix oder keine Herstelleraussage vorliegt
• GitHub-Repository und VulnCheck auf einen Fix überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-111708 project repository github.com
• UserController.ts at commit cf04795 github.com
• CreateUserService.ts at commit cf04795 github.com
• HackMD write-up (signup EoP and IDOR) hackmd.io
• VulnCheck advisory www.vulncheck.com
• VulDB entry CVE-2026-111708 vuldb.com
• Project issues github.com
• Project releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:23.