ShowDoc: Code-Injection über Mock-Vorlagen
Zusammenfassung
ShowDoc 2.8.14 vor 3.9.6 enthält eine Code-Injection-Schwachstelle im Mock-Feature. Ein authentifizierter Benutzer kann eine präparierte mockjs-Vorlage speichern, die mit eval() ausgewertet wird und Betriebssystembefehle ausführen kann. Laut den Quellen laufen die Befehle im offiziellen Docker-Image als root, und der Auslöser-Endpunkt erfordert keine Authentifizierung.
Betroffen
- ShowDoc 2.8.14 bis vor 3.9.6 (gemäss CNA-Eintrag von VulnCheck)
- Offizielles Docker-Image star7th/showdoc:v3.9.4 und v3.9.5 (in einer öffentlichen Analyse verifiziert)
- Betroffen nur, wenn der Mock-Dienst aktiviert ist (im offiziellen Full-Image standardmässig aktiviert)
Behoben in
- Auf ShowDoc 3.9.6 oder neuer aktualisieren
- Backports auf ältere Versionszweige: Unbekannt.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Unbekannt.
Ausnutzung
- Aktive Ausnutzung bekannt: Nicht bekannt.
- Öffentlicher Proof of Concept: Zum Zeitpunkt der Erstellung keiner gefunden.
- Der verwundbare Code und der Fix-Commit sind öffentlich, daher ist eine Exploit-Entwicklung möglich.
Unsere Empfehlung
- ShowDoc auf Version 3.9.6 oder neuer aktualisieren.
- Prüfen, ob eine ShowDoc-Instanz aus dem Internet erreichbar ist, und offene Selbstregistrierung wenn möglich deaktivieren.
- Konten auf vertrauenswürdige Benutzer beschränken und bestehende Konten überprüfen.
- Gespeicherte Mock-Vorlagen und Logs auf unerwartete Einträge prüfen.
- Container nicht als root betreiben und dessen Netzwerkzugriff einschränken.
- Priorität: hoch bei Internet-Exposition oder offener Registrierung, sonst mittel.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Fix commit 5a2087a github.com
- Vulnerable code mock/index.js (v3.9.5) github.com
- Technical write-up (gist) gist.github.com
- ShowDoc GitHub repository github.com
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:13.
Referenzen der NVD (5)
- https://gist.github.com/LioTree/028af150fd991cf9924dd2c7d5912e54
- https://github.com/star7th/showdoc
- https://github.com/star7th/showdoc/blob/v3.9.5/mock/index.js#L42
- https://github.com/star7th/showdoc/commit/5a2087a3f408f5266f61e9e2fb98845ef4788288
- https://www.vulncheck.com/advisories/showdoc-2.8.14-before-3.9.6-code-injection-via-mock-templates
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.