ProjectSend: Unzureichende Autorisierung über API-Token-Berechtigungen

Zusammenfassung

ProjectSend 2.0.0 vor 2.7.0 erlaubt es einem eingeschränkten API-Token-Inhaber, die Zugangsdaten des Token-Besitzers zu ändern. Ein Token mit den Berechtigungen manage_users und edit_users kann für den Besitzer ein neues Passwort setzen, die Zwei-Faktor-Authentifizierung deaktivieren und sich interaktiv mit den vollen Rollenrechten des Besitzers anmelden. Der Angriff setzt ein gültiges Mitarbeiter-API-Token mit diesen Berechtigungen voraus, daher entsteht das Hauptrisiko durch missbräuchliche oder unachtsame Mitarbeitende oder durch gestohlene Token.

Betroffen

• ProjectSend 2.0.0 bis vor 2.7.0

Behoben in

• Behoben in ProjectSend 2.7.0 (veröffentlicht am 6. Oktober 2026)
• Laut den Sicherheitshinweisen des Herstellers kann ein API-Token das Passwort, die E-Mail-Adresse oder die Zwei-Faktor-Einstellung seines eigenen Besitzers nicht mehr ändern

Umgehung

• Keine vollständige Workaround-Lösung; auf 2.7.0 oder neuer aktualisieren
• Bis zur Aktualisierung nicht benötigte API-Token mit manage_users oder edit_users widerrufen
• Für alle API-Token Ablaufdaten setzen
• Aktivitätsprotokoll auf unerwartete Token-Aktivitäten prüfen
• Die Zwei-Faktor-Authentifizierung verhindert diesen Angriffspfad nicht

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar 'no', technische Auswirkung 'total'
• Nicht als aktiv ausgenutzt (KEV) gelistet
• Kein öffentlicher Proof of Concept gefunden; als unbekannt behandeln
• CVSS 4.0 Basiswert 8.6 (NVD-Status: Deferred)

Unsere Empfehlung

• Alle ProjectSend-Instanzen identifizieren und deren Version prüfen; Versionen vor 2.7.0 sind betroffen
• Auf 2.7.0 oder neuer aktualisieren und die Versionshinweise zu 2.7.1 prüfen
• API-Token jetzt prüfen und jedes nicht benötigte Token mit manage_users oder edit_users widerrufen
• Administrations- und API-Zugriff nach Möglichkeit auf vertrauenswürdige Netze beschränken
• Passwörter, Zwei-Faktor-Einstellungen und Aktivitätsprotokoll auf unerwartete Änderungen an Besitzerkonten seit dem 6. Oktober 2026 prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linked page: StaffAccounts.php at v2.6.0 (vulnerable code) github.com
• Fix commit db65731c github.com
• ProjectSend 2.7.0 release github.com
• GitHub Security Advisory GHSA-j5cp-r8pr-m5cr github.com
• VulnCheck advisory www.vulncheck.com
• OSV CVE-2026-112001 osv.dev
• ProjectSend hardening guide www.projectsend.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:48.