OpenPanel: Sandbox-Ausbruch führt zu Remote Code Execution in Webhook-Templates
Zusammenfassung
OpenPanel vor 3.0.0 enthält einen Sandbox-Ausbruch im Validator von JavaScript-Webhook-Templates. Ein authentifiziertes Projektmitglied mit Schreibrechten kann die AST-Allowlist umgehen, indem es den Konstruktor Function über einen Alias aufruft, und beliebigen Code im Worker-Prozess ausführen. Der Worker verfügt über Zugangsdaten für Datenbank, ClickHouse, Redis und Drittanbieter-Integrationen, weshalb ein erfolgreicher Angriff diese Geheimnisse offenlegen oder missbrauchen kann.
Betroffen
- OpenPanel-Versionen vor 3.0.0 (betroffener Bereich 0 bis kleiner 3.0.0 gemäss CVE-Eintrag)
- Rolling-main-Images aus 286f8e16 (2026-01-23) bis 61a92453 (2026-09-18), gemäss GitHub-Advisory GHSA-mc99-9jf5-22cq
Behoben in
- Auf OpenPanel 3.0.0 oder neuer aktualisieren (vom Hersteller empfohlene Massnahme)
- Fix-Commit: 42fc8623b5c5c30f0b89686451c0c5ab13046b81
- Nicht verifiziert: ob der Release-Tag 3.0.0 diesen Commit enthält
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme; in den Quellen ist nur das Patchen als Behebung genannt.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc' (öffentlicher Proof of Concept), nicht automatisierbar, totale technische Auswirkung
- EPSS: 0.49 % (Perzentil 42)
- Zum Zeitpunkt der Erstellung ist keine bestätigte Ausnutzung in freier Wildbahn bekannt
Unsere Empfehlung
- OpenPanel auf 3.0.0 oder neuer aktualisieren; wer main- oder Rolling-Images betreibt, sollte aus einem Commit nach 61a92453 neu bauen, der den Fix enthält
- Bis zur Behebung einschränken, wer Webhook-Integrationen und JavaScript-Templates erstellen oder bearbeiten darf
- Bestehende Webhook-Templates auf Verweise auf constructor, __proto__ oder prototype prüfen
- Zugangsdaten für Datenbank, Redis und Integrationen rotieren, falls nicht vertrauenswürdige Benutzer Template-Zugriff hatten
- Worker-Logs auf unerwartete Prozess- oder Netzwerkaktivitäten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-mc99-9jf5-22cq github.com
- Fix commit 42fc8623 (OpenPanel) github.com
- VulnCheck advisory: OpenPanel sandbox escape RCE via webhook JavaScript template www.vulncheck.com
- CIRCL vulnerability lookup (CWE-94) vulnerability.circl.lu
- OpenPanel pull request 510 (validator fix) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:04.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.