Xerte Online Toolkits: Remote Code Execution über Sprachpaket-Import

Zusammenfassung

Xerte Online Toolkits bis Version 3.15.5 erlaubt einem authentifizierten Benutzer mit Systemberechtigung, PHP-Code auf dem Server auszuführen. Der Angreifer lädt über die Funktion zum Import von Sprachpaketen ein ZIP-Archiv mit einer präparierten .inc-Datei hoch und ruft diese anschliessend über den Parameter language auf. Für den Angriff sind hohe Berechtigungen nötig, ein erfolgreicher Angriff verschafft jedoch die volle Kontrolle über den Webserver und seine Daten.

Betroffen

• Xerte Online Toolkits bis 3.15.5
• Herstellerangaben: thexerteproject xerteonlinetoolkits, Versionen 0 bis 3.15.5 betroffen

Behoben in

Unbekannt. Für diese Schwachstelle ist keine bestätigte korrigierte Version bekannt.

Umgehung

• Systemberechtigung nur vertrauenswürdigen Administratoren erteilen
• Prüfen, wer die Funktion zum Import von Sprachpaketen verwenden kann
• Anfragen an import_language.php und Zugriffe über den Parameter language protokollieren und alarmieren

Ausnutzung

• Zum Zeitpunkt der Erfassung keine bestätigte Ausnutzung in freier Wildbahn
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog
• Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert
• Ein Forschungsbericht vom Oktober 2025 beschreibt eine verwandte Upload-Schwachstelle im selben Import-Endpunkt; ob es sich um denselben Fehler handelt, ist nicht bestätigt

Unsere Empfehlung

• Prüfen, ob eine installierte Xerte-Instanz Version 3.15.5 oder älter ist und ob sie aus dem Internet erreichbar ist
• Administratorkonten auf wenige vertrauenswürdige Mitarbeitende beschränken und nicht benötigte Konten mit Systemberechtigung entfernen
• Die Funktion zum Import von Sprachpaketen nach Möglichkeit einschränken oder deaktivieren und beim Hersteller den Stand der Korrektur erfragen
• Importaktivitäten sowie Webserver-Logs auf verdächtige PHP-Dateien überwachen
• NVD und CISA KEV in den kommenden Tagen erneut prüfen, da die NVD-Analyse noch aussteht

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• NVD record via Vulners vulners.com
• VulDB CVE entry vuldb.com
• GitHub issue 1557 github.com
• Vulnerable code functions.php github.com
• Vulnerable code import_language.php github.com
• Xerte news blog xerte.org.uk
• Xerte downloads xerte.org.uk

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:57.