Postiz: Gefälschte signierte Token ermöglichen Kontoübernahme und Rechteausweitung

Zusammenfassung

Postiz signiert Session-, Einladungs-, Passwort-Reset- und Enterprise-Provisioning-Token mit einem gemeinsamen Geheimnis und ohne Kennzeichnung des Verwendungszwecks. Eine Route, die die Zugangsdaten von Browser-Erweiterungs-Kanälen erneuert, signiert vom Angreifer gewählte Daten, sodass ein registrierter Benutzer ein gültiges Token mit beliebigen Claims erhalten kann. Ein Angreifer kann damit fremde Benutzerkonten übernehmen, anderen Organisationen als Super-Administrator beitreten und deren API-Schlüssel auslesen. Dafür genügt ein gewöhnliches Konto, das bei offener Registrierung selbst erstellt werden kann.

Betroffen

• GitroomHQ postiz-app 2.15.0 bis vor 2.25.3
• Die Standardkonfiguration ist laut CNA-Eintrag nicht betroffen; die Ausnutzbarkeit hängt von der unter Ausnutzung genannten Konfiguration ab.

Behoben in

• Auf postiz-app 2.25.3 oder neuer aktualisieren (veröffentlicht am 2026-10-24).
• Unklar: ob der Fix in 2.25.3 auch die Einladungsroute für Teams abdeckt. Dies anhand des Fix-Commits a5affe62c74e39c1e7ac960d50d8418b807d532c prüfen.

Umgehung

• Falls keine Postiz-Browser-Erweiterung für Kanäle verwendet wird, POST /integrations/extension-refresh am Reverse Proxy blockieren. Dies entfernt nur die wichtigste Signierroute; die Einladungsroute für Teams bleibt offen.
• DISABLE_REGISTRATION=true setzen, um die Exposition auf bestehende Konten zu begrenzen. Dies reduziert die Reichweite, behebt die Schwachstelle aber nicht.

Ausnutzung

• Der Meldende (Anthropic) besitzt einen funktionierenden Proof of Concept, der dem Hersteller übermittelt wurde. Die Ausnutzung wurde End-to-End gegen ein unverändertes Backend-Build demonstriert.
• Kein öffentlicher Proof of Concept gefunden; keine bekannte Ausnutzung in freier Wildbahn gemeldet.
• Nicht im CISA-KEV-Katalog.
• Voraussetzungen: Die Instanz muss api2.skool.com erreichen können (Standard bei Instanzen mit Skool-Provider). Bei Stripe-Abrechnung muss der Tarif des Angreifers einen Kanal erlauben und die Zielorganisation darf nicht im Tarif STANDARD sein. Session- und Passwort-Reset-Token sind von diesen Einschränkungen nicht betroffen.
• Gefälschte Token laufen nicht ab und sind von echten nicht unterscheidbar.

Unsere Empfehlung

• Postiz mit Priorität auf Version 2.25.3 oder neuer aktualisieren, falls die Instanz aus dem Internet erreichbar ist oder eine offene Registrierung besteht.
• Nach dem Update das JWT-Signiergeheimnis rotieren. Vor dem Patch erstellte gefälschte Token wären sonst weiterhin gültig; die Rotation macht ausserdem bestehende Session-, Einladungs-, Reset- und Enterprise-Token ungültig, sodass sich Benutzer neu anmelden müssen.
• DISABLE_REGISTRATION=true setzen, sofern keine öffentliche Registrierung benötigt wird.
• Logs auf Anfragen an POST /integrations/extension-refresh, Team-Einladungen und Passwort-Resets sowie auf unerwartete Zuweisungen der Rolle Super-Administrator prüfen.
• API-Schlüssel der Organisationen auf unautorisierte Nutzung prüfen und bei Verdacht auf Kompromittierung rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GAdvisory PSA-2026-YT2HMH gadvisory.org
• Postiz fix commit a5affe62 github.com
• Postiz release v2.25.3 github.com
• Postiz GitHub repository github.com
• Ostorlab analysis of CVE-2026-115931 (related disclosure) blog.ostorlab.co
• CVE threat intelligence record cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:54.