Padloc: Prototype Pollution über SCIM-PATCH-Pfade
Zusammenfassung
Padloc-Versionen 4.0.0 vor 4.3.1 enthalten eine Prototype-Pollution-Schwachstelle (CWE-1321) in der SCIM-Provisionierungsschnittstelle. Ein Angreifer mit einem SCIM-Token kann präparierte PATCH-Pfade wie __proto__ oder constructor.prototype senden, wodurch Object.prototype im gemeinsam genutzten Serverprozess verändert wird. Dies kann Anfragen für alle Organisationen stören, die über dieselbe Padloc-Instanz bedient werden.
Betroffen
- Padloc 4.0.0 bis vor 4.3.1
Behoben in
- Padloc 4.3.1 (vom CNA VulnCheck als nicht betroffen aufgeführt)
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert. Auf 4.3.1 oder neuer aktualisieren.
- Übergangsmassnahme (Empfehlung, nicht vom Hersteller): SCIM-Zugriff auf den Adressbereich des Identity Providers beschränken, SCIM-Token rotieren und prüfen, wer diese besitzt.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden, jedoch nicht bestätigt.
- Öffentlicher Proof-of-Concept-Code: keine Hinweise gefunden.
- Status im CISA-KEV-Katalog: nicht geprüft.
Unsere Empfehlung
- Alle Padloc-Instanzen und deren Versionen erfassen und prüfen, ob die SCIM-Provisionierung aktiviert ist.
- Falls SCIM aktiviert ist, auf 4.3.1 oder neuer aktualisieren; Instanzen aus dem Internet erreichbar zuerst priorisieren.
- SCIM-Zugriff auf den Identity Provider beschränken, SCIM-Token rotieren und Protokolle auf unerwartete PATCH-Anfragen prüfen.
- Das GitHub-Advisory GHSA-crhv-mjrg-8vwm auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-126570 www.cve.org
- GitHub Security Advisory GHSA-crhv-mjrg-8vwm github.com
- Fix commit 7dd3d230 github.com
- VulnCheck advisory www.vulncheck.com
- Vulnerable code: server scim.ts (v4.3.0) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:26.
Referenzen der NVD (5)
- https://github.com/padloc/padloc/blob/v4.3.0/packages/core/src/util.ts#L239-L251
- https://github.com/padloc/padloc/blob/v4.3.0/packages/server/src/scim.ts#L421-L428
- https://github.com/padloc/padloc/commit/7dd3d230ef299c71ac215c802600b5f2358f7ba3
- https://github.com/padloc/padloc/security/advisories/GHSA-crhv-mjrg-8vwm
- https://www.vulncheck.com/advisories/padloc-4.0.0-before-4.3.1-prototype-pollution-via-scim-patch-setpath
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.