MacCMS v10: Authentifizierungsumgehung ermöglicht Kontoübernahme über Passwort-Reset

Zusammenfassung

MacCMS v10 vor 2026.1000.4054 prüft nicht, ob der im Passwort-Reset verwendete Wiederherstellungscode zum anfragenden Konto gehört. Ein nicht authentifizierter Angreifer kann einen Wiederherstellungscode an sein eigenes Postfach anfordern und damit das Passwort jedes Mitglieds zurücksetzen, sofern er die E-Mail-Adresse oder Telefonnummer des Opfers kennt. Die Schwachstelle ist netzwerkseitig erreichbar und erfordert keine Benutzerinteraktion, weshalb jede aus dem Internet erreichbare MacCMS-Seite gefährdet ist.

Betroffen

• MacCMS v10 (maccmspro/maccms10): Versionen bis einschliesslich 2021.1000.2000 gemäss VulnCheck-Eintrag
• MacCMS v10 (magicblack/maccms10): Versionen vor 2026.1000.4054
• Das verwandte CVE-2026-111356 betrifft Versionen bis 2026.1000.4056 (separates Problem)

Behoben in

• Auf Version 2026.1000.4054 oder neuer aktualisieren
• Die neueste Version beim Hersteller bestätigen, da für ein verwandtes Problem Versionen bis 2026.1000.4056 gemeldet werden

Umgehung

• Im CVE-Eintrag ist keine Umgehungslösung dokumentiert.
• Ein Update ist der unterstützte Weg. Falls ein Update nicht sofort möglich ist, die Seite offline nehmen oder den Zugriff auf vertrauenswürdige Benutzer beschränken, bis ein Patch installiert ist.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog aufgeführt.
• Öffentlicher Proof of Concept: widersprüchliche Angaben; VulDB meldet keinen verfügbaren Exploit.
• Die Ausnutzung ist einfach: Es sind keine Authentifizierung, keine Berechtigungen und keine Benutzerinteraktion erforderlich.

Unsere Empfehlung

• Prüfen, ob eine MacCMS-v10-Instanz im Einsatz ist und aus welchem Repository sie stammt.
• Auf 2026.1000.4054 oder neuer aktualisieren und die neueste Version beim Hersteller verifizieren.
• Den im Hersteller-Issue beschriebenen, frei zugänglichen Installer prüfen und entfernen oder einschränken.
• Protokolle zum Passwort-Reset überprüfen und Mitglieder informieren, falls Hinweise auf Missbrauch bestehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• MacCMS vendor issue #30 github.com
• Vulnerable code in User.php github.com
• Fix commit (magicblack/maccms10) github.com
• VulDB entry vuldb.com
• MacCMS upstream repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:44.