LingGuo-Drama: Unsichere direkte Objektreferenz in der Admin-Projekt-API

Zusammenfassung

LingGuo-Drama, eine Plattform zur Verwaltung von Kurzdrama-Projekten, prüft beim Zugriff über /admin/v1/projects/:id nicht, wem ein Projekt gehört. Jeder registrierte Benutzer, auch ein selbst registrierter Account, kann numerische IDs durchlaufen und fremde Projekte lesen, überschreiben, neu zuweisen oder löschen. Für den Angriff genügt ein gültiges Benutzerkonto ohne Interaktion durch andere Benutzer, und technische Details sind öffentlich verfügbar.

Betroffen

• LingGuoAI LingGuo-Drama bis Commit 8a6924adf8142678919b4d9a08b9d60c49dcfbed
• Es sind keine Release-Versionsnummern veröffentlicht.

Behoben in

Unbekannt. Es wurde keine bestätigte korrigierte Version und kein Herstellerhinweis gefunden.

Umgehung

• Es ist kein Workaround des Herstellers bekannt.
• Den Zugriff auf /admin/-Routen auf Netzwerk- oder Reverse-Proxy-Ebene einschränken.
• Selbstregistrierung deaktivieren oder einschränken.
• Protokolle auf sequenzielle Anfragen an /admin/v1/projects/:id prüfen.

Ausnutzung

• Öffentliche technische Beschreibung vorhanden; in diesem Eintrag ist kein öffentlicher Exploit-Code enthalten.
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn bekannt (CISA SSVC: Exploitation PoC, nicht automatisierbar).
• Der Angreifer benötigt ein registriertes Benutzerkonto (PR:L).

Unsere Empfehlung

• Klären, ob LingGuo-Drama in Ihrer Umgebung eingesetzt wird und ob es aus dem Internet erreichbar ist.
• Falls ja, die Admin-API und die Selbstregistrierung umgehend einschränken.
• Auf ungewöhnliche sequenzielle Zugriffe auf Projekt-IDs achten.
• CVE-2026-111723 im selben Produkt, das höher eingestuft ist, zusammen mit dieser CVE prüfen.
• Keine ungeprüfte Korrektur einsetzen, bis der Hersteller einen korrigierten Commit bestätigt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (VulnCheck advisory) www.vulncheck.com
• Public write-up (HackMD) hackmd.io
• projects_controller.go at commit 8a6924a github.com
• projects_utils.go at commit 8a6924a github.com
• routes/admin.go at commit 8a6924a github.com
• Vendor GitHub issue #10 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:51.