Postiz: Dateien lesbar und Backend-Absturz durch ungeschützte Provider-Aufrufe
Zusammenfassung
Postiz, eine Open-Source-Software für die Planung von Social-Media-Beiträgen, beschränkt nicht, welche internen Provider-Funktionen ein angemeldeter Benutzer aufrufen kann. Ein registrierter Benutzer kann beliebige Dateien lesen, die der Backend-Prozess lesen darf, einschliesslich dessen Umgebungsvariablen. Diese enthalten das JWT-Signaturgeheimnis, Verbindungsdaten zu Datenbank und Redis sowie Zugangsdaten verbundener Dienste. Eine zweite Hilfsfunktion kann das Backend mit einer einzigen Anfrage beenden. Die Selbstregistrierung ist standardmässig offen, daher benötigt ein Angreifer nur ein selbst registriertes Konto.
Betroffen
- GitroomHQ postiz-app 2.23.0 bis und mit 2.25.1 (gemäss CNA-Eintrag und GAdvisory)
- Die Standardkonfiguration ist betroffen
Behoben in
- Behoben in v2.25.2 (Commit 9383f5be)
- Gemäss den Recherchenotizen wird v2.25.3 oder neuer empfohlen, die auch verwandte Advisories behebt
Umgehung
- DISABLE_REGISTRATION=true setzen, um die Selbstregistrierung zu deaktivieren. Dies reduziert das Risiko für Personen, die bereits ein Konto besitzen, behebt die Schwachstelle jedoch nicht.
Ausnutzung
- Der Hersteller und der Melder haben eine vollständige Ausnutzung mit einem selbst registrierten Konto demonstriert, inklusive Lesen einer Datei und des JWT-Geheimnisses.
- Das Beenden des Backends mit einer Anfrage wurde separat demonstriert.
- Es wurde keine Ausnutzung in freier Wildbahn gemeldet. Nicht im CISA-KEV-Katalog. Kein öffentlicher PoC gefunden.
Unsere Empfehlung
- Auf v2.25.3 oder neuer aktualisieren, nicht nur auf 2.25.2.
- Falls eine verwundbare Version exponiert war, JWT-Geheimnis, Datenbank-Zugangsdaten und Tokens verbundener Dienste erneuern, da ein gestohlenes Signaturgeheimnis auch nach dem Patchen gefälschte Sitzungen erlaubt.
- Logs auf ungewöhnliche Zugriffe oder unerwartete Neustarts des Backends seit dem 23. Oktober 2026 prüfen.
- Selbstregistrierung deaktivieren, bis das Update verifiziert ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GAdvisory PSA-2026-JNXM56 gadvisory.org
- Postiz release v2.25.2 github.com
- Postiz releases (v2.25.3) github.com
- Postiz fix commit 9383f5be github.com
- GitHub Security Advisory GHSA-wc9c-7cv8-m225 github.com
- Ostorlab write-up on CVE-2026-115931 blog.ostorlab.co
- VulDB entry 426049 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.