LingGuo-Drama: Fehlende Autorisierung in der Admin-Konten-API

Zusammenfassung

LingGuo-Drama, eine KI-basierte Plattform für Mini-Dramen und Motion Comics, weist bis Commit 8a6924a eine fehlende Autorisierungsprüfung in der API /admin/v1/admins auf. Jeder registrierte Benutzer kann diese API nutzen, um alle Konten zu verwalten. Ein Angreifer kann sich selbst registrieren, bcrypt-Passwort-Hashes auslesen, das Passwort des initialen Administrators zurücksetzen, seine eigene Berechtigungsstufe erhöhen und Konten löschen. Für die Ausnutzung genügt ein registriertes Benutzerkonto, weshalb offene Selbstregistrierung der wichtigste Risikofaktor ist.

Betroffen

• LingGuoAI LingGuo-Drama bis einschliesslich Commit 8a6924adf8142678919b4d9a08b9d60c49dcfbed (Git-Commit-Bereich; Release-Nummern unbekannt)
• Forks und selbst gebaute Docker-Images auf Basis dieses Codes sind potenziell betroffen; nicht geprüft.

Behoben in

Unbekannt. Keine korrigierte Version und keine Herstellerwarnung gefunden.

Umgehung

• Zugriff auf den Pfad /admin am Reverse Proxy oder an der Firewall so beschränken, dass nur Administrationsnetze ihn erreichen (generische Massnahme, nicht vom Hersteller bestätigt).
• Offene Selbstregistrierung deaktivieren oder einschränken, sofern die Anwendung dies erlaubt. Ob sie standardmässig aktiviert ist, ist unbekannt.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar 'nein', technische Auswirkung 'total'.
• Eine technische Analyse eines Drittanbieters existiert; in den geprüften Quellen wurde kein öffentlicher Proof-of-Concept-Code gefunden.
• In den geprüften Quellen nicht als aktiv ausgenutzt gelistet; der Status im CISA-KEV-Katalog sollte direkt geprüft werden.
• Der EPSS-Wert ist sehr niedrig (ca. 0,003).

Unsere Empfehlung

• Prüfen, ob eine Instanz Commit 8a6924a oder einen früheren Stand ausführt, einschliesslich Forks und Docker-Builds.
• Zugriff auf /admin auf vertrauenswürdige Netze beschränken und, wo möglich, öffentliche Selbstregistrierung deaktivieren.
• Falls eine Instanz erreichbar war, alle Konten und Berechtigungsstufen prüfen, nach unerwarteten Administratorkonten suchen und das Passwort des initialen Administrators, die JWT-Signaturschlüssel sowie gespeicherte Zugangsdaten erneuern.
• Auf neue Konten und Änderungen bei Administratorkonten achten. Das Herstellerrepository auf eine Korrektur prüfen und sobald verfügbar aktualisieren.
• Die verwandte IDOR-Schwachstelle CVE-2026-111722 gemeinsam mit dieser bewerten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vulnerable code: admins controller github.com
• Vulnerable code: admins model github.com
• Vulnerable code: admin routes github.com
• VulnCheck advisory www.vulncheck.com
• Third-party write-up (HackMD) hackmd.io
• VulDB entry vuldb.com
• CVE List V5 record (Vulners) vulners.com
• LingGuo-Drama repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:10.