Volmarg Personal Management System: OS-Command-Injection im Speichermodul

Zusammenfassung

Das Volmarg Personal Management System bis einschliesslich Version 2.1.0 enthält eine OS-Command-Injection-Schwachstelle im tree-Befehl des Speichermoduls. Nicht maskierte Ordnerpfade werden an die Shell übergeben, sodass ein authentifizierter Benutzer ein Verzeichnis mit Shell-Metazeichen wie $(...) unter upload/files anlegen und anschliessend verschieben oder kopieren kann, um Befehle auszuführen. Die Befehle laufen mit den Rechten des Webserver-Benutzers, was Zugriff auf die Anwendungsdaten und möglicherweise auf den Host ermöglicht.

Betroffen

• Volmarg personal-management-system, Versionen 0 bis 2.1.0 (gemäss CVE-Eintrag)
• Version 2.0 wird ebenfalls von VulDB aufgeführt
• Betroffene Versionen und Commit-Details sind über die Quellen hinweg nicht vollständig bestätigt

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und kein Herstellerhinweis gefunden.

Umgehung

• Es ist keine Herstellerlösung verfügbar.
• Internetzugriff entfernen; die Anwendung hinter ein VPN oder einen authentifizierenden Reverse Proxy stellen.
• Nicht benötigte Benutzerkonten einschränken oder entfernen.
• Webserver-/PHP-Prozess als dedizierten Benutzer mit minimalen Rechten betreiben, ohne Schreibzugriff ausserhalb der Anwendungsverzeichnisse.
• Zugriff auf das Speichermodul deaktivieren, falls es nicht benötigt wird.
• Das Verzeichnis upload/files auf Ordnernamen mit Shell-Metazeichen prüfen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Exploit in Metasploit oder Exploit-DB und kein öffentliches Nuclei-Template gefunden.
• Das GitHub-Issue des Melders beschreibt die Schwachstelle und eine demonstrierte Reverse Shell; dies wurde nicht verifiziert.
• Erfordert ein authentifiziertes Benutzerkonto.

Unsere Empfehlung

• Prüfen, ob die Anwendung aus dem Internet erreichbar ist oder viele Benutzerkonten hat; falls ja, hohe Priorität.
• Internetzugriff entfernen und den Zugriff für vertrauenswürdige Benutzer über VPN oder Reverse Proxy beschränken.
• Benutzerkonten prüfen und nicht benötigte entfernen.
• Anwendung mit einem Dienstkonto mit minimalen Rechten betreiben.
• Verzeichnis upload/files auf verdächtige Ordnernamen überwachen.
• Beim Hersteller einen Zeitplan für eine Korrektur anfragen und das Repository regelmässig auf ein gepatchtes Release prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record / VulnCheck advisory www.vulncheck.com
• GitHub issue #165 github.com
• Vendor repository github.com
• ShellAbstractService.php at v2.1.0 github.com
• ShellTreeService.php at v2.1.0 github.com
• VulDB CVE-2026-118755 vuldb.com
• VulDB vulnerability 428236 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:51.