Trudesk: Fehlende Authentifizierung bei Debug-Routen erlaubt Datenlöschung

Zusammenfassung

Trudesk bis Version 1.2.11 stellt Debug-Routen ohne Authentifizierung bereit, sofern die Umgebungsvariable NODE_ENV nicht gesetzt ist. Ein entfernter, nicht authentifizierter Angreifer kann über /debug/populatedb alle Gruppen, Tags und Tickets löschen. Die vorbereiteten Konten verwenden das Standardpasswort 'password', wodurch sich anschliessend anmelden lässt.

Betroffen

• Trudesk bis 1.2.11 (polonel/trudesk)
• Die Exposition betrifft Installationen, bei denen NODE_ENV nicht gesetzt ist

Behoben in

Unbekannt. Es wurde noch keine korrigierte Version bestätigt.

Umgehung

• Die Trudesk-Instanz nicht direkt aus dem Internet erreichbar machen; sie hinter ein VPN oder einen authentifizierenden Reverse Proxy stellen.
• Die /debug-Pfade am Reverse Proxy oder an der Firewall blockieren und prüfen, dass sie von aussen nicht erreichbar sind.
• NODE_ENV explizit auf production setzen (nicht durch den Hersteller bestätigt; vorgängig testen).

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Eine öffentliche technische Beschreibung existiert; ob ein funktionierender Proof of Concept öffentlich ist, ist unbekannt.

Unsere Empfehlung

• Den Netzwerkzugriff auf Trudesk jetzt einschränken, da kein Patch bestätigt ist.
• Prüfen, ob Gruppen, Tags oder Tickets gelöscht wurden und ob vorbereitete Konten mit Standardpasswörtern existieren; diese Passwörter ändern oder die Konten entfernen.
• Die MongoDB-Datenbank vor jeder Änderung sichern.
• Die Release-Seite des Herstellers auf eine korrigierte Version prüfen und ein Upgrade planen, sobald eine verfügbar ist.
• Weitere Trudesk-Probleme derselben Version prüfen, etwa den nicht authentifizierten Zugriff auf Anhänge unter /uploads; die Einschränkung der Exposition deckt diese ebenfalls ab.
• Webserver-Logs auf Anfragen an /debug-Pfade überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-114397 on VulnCheck advisory www.vulncheck.com
• Trudesk app.js at v1.2.11 github.com
• Trudesk routes/index.js at v1.2.11 github.com
• Multiple vulnerabilities in Trudesk 1.2.11 (HackMD write-up) hackmd.io
• Trudesk GitHub repository github.com
• CVE-2026-114397 on HOL hol.org
• CVE-2026-114397 on VulDB vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:23.