LavaLite CMS: Fehlende Authentifizierung im Filer-Modul erlaubt Dateidownload

Zusammenfassung

LavaLite CMS bis einschliesslich Version 10.1.2 prüft im Filer-Modul die Authentifizierung beim Herunterladen und Anzeigen von Dateien nicht. Ein nicht angemeldeter Angreifer kann über die Routen filer/download und filer/display beliebige Datenträgernamen und Pfade angeben und so private Uploads aus dem lokalen Speicher oder von konfigurierten S3-Datenträgern abrufen. Die Ausnutzung ist über das Netzwerk ohne Konto und ohne Benutzerinteraktion möglich, die Auswirkung beschränkt sich auf die Vertraulichkeit.

Betroffen

• LavaLite CMS bis einschliesslich 10.1.2
• Komponente: Filer-Modul (Litepie/Filer)

Behoben in

Unbekannt.

• In den geprüften Quellen wurde keine korrigierte Version gefunden. Version 10.1.2 ist als betroffen aufgeführt.

Umgehung

• Den Zugriff auf die Filer-Routen (filer/download und filer/display) am Reverse Proxy oder WAF einschränken.
• Das Filer-Modul deaktivieren, falls die Website es nicht benötigt.
• Zugriffsrechte auf die lokalen Speicherverzeichnisse sowie auf die S3-Buckets bzw. IAM-Richtlinien hinter den Filer-Datenträgern prüfen.

Ausnutzung

• CISA SSVC: Proof of Concept vorhanden, automatisierbar: ja, technische Auswirkung: teilweise.
• Ein GitHub-Gist mit einer Beschreibung des Problems existiert. Ob es sich um einen funktionierenden Exploit handelt, ist nicht verifiziert.
• Nicht in CISA KEV gelistet. Der EPSS-Wert ist niedrig (0.00441).

Unsere Empfehlung

• Prüfen, ob LavaLite CMS installiert ist und ob das Filer-Modul aktiviert ist, auch in Lockfiles und ausgerollten Manifesten.
• Öffentlichen Zugriff auf die Filer-Routen blockieren oder einschränken, bis eine korrigierte Version verfügbar ist.
• Webserver-Logs auf Anfragen an filer/download und filer/display aus unerwarteten Quellen prüfen.
• Bei bestätigter Exposition betroffene Dateien als kompromittiert behandeln und beurteilen, ob personenbezogene Daten betroffen sind.
• Den Hersteller auf eine korrigierte Version überwachen und diese sofort einspielen, sobald sie verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• LavaLite CMS release v10.1.2 github.com
• LavaLite framework: FileController.php github.com
• LavaLite framework: Filer routes web.php github.com
• Gist: LavaLite CMS Filer unauthenticated file read gist.github.com
• OpenCVE CVE-2026-113358 app.opencve.io
• NVD record via Vulners vulners.com
• OSV record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:31.