ByteStash: Unzureichendes Session-Ablaufdatum über API-Schlüssel nach Deaktivierung
Zusammenfassung
ByteStash 1.5.10 bis vor 1.6.2 prüft beim Validieren von API-Schlüsseln den Status des Kontos nicht. Ein Angreifer mit dem API-Schlüssel eines deaktivierten Kontos behält den Zugriff und kann die Snippets dieses Kontos über die REST-API lesen, erstellen, ändern und löschen sowie alle MCP-Werkzeuge nutzen. Voraussetzung ist ein gültiger API-Schlüssel, der vor der Deaktivierung des Kontos ausgestellt wurde.
Betroffen
- ByteStash 1.5.10 bis vor 1.6.2
Behoben in
- Behoben in ByteStash 1.6.2
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert; Update auf 1.6.2 einspielen.
- Übergangsmassnahme (nicht vom Hersteller): API-Schlüssel von deaktivierten Konten manuell löschen.
Ausnutzung
- Gemäss OffSeq ist keine Ausnutzung bekannt.
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept oder Exploit gefunden.
Unsere Empfehlung
- ByteStash im normalen Patch-Zyklus auf 1.6.2 oder neuer aktualisieren; Instanzen mit Internetzugang und Instanzen mit MCP-Nutzung priorisieren.
- Bis zum Patch die Benutzerliste prüfen und API-Schlüssel deaktivierter Konten löschen.
- Registrierungseinstellungen der Instanzen prüfen und sicherstellen, dass ehemalige Mitarbeitende keine aktiven Schlüssel mehr besitzen.
- API-Zugriffsprotokolle auf Anfragen mit Schlüsseln deaktivierter Konten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-126658 www.cve.org
- GitHub Security Advisory GHSA-26m9-ww2j-3cr5 github.com
- ByteStash release v1.6.2 github.com
- ByteStash pull request #385 github.com
- VulnCheck advisory www.vulncheck.com
- OffSeq Radar threat entry radar.offseq.com
- Strix CVE entry www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:38.
Referenzen der NVD (7)
- https://github.com/jordan-dalby/ByteStash/blob/v1.6.1/server/src/repositories/apiKeyRepository.js#L70-L78
- https://github.com/jordan-dalby/ByteStash/commit/eb4ecdfc30f2e7d1424137fa7fe3a9eed663218b
- https://github.com/jordan-dalby/ByteStash/releases/tag/v1.6.2
- https://github.com/jordan-dalby/ByteStash/security/advisories/GHSA-26m9-ww2j-3cr5
- https://notes.netbytesec.com/2026/11/cve-2026-126658-bytestash-1510-before.html
- https://www.vulncheck.com/advisories/bytestash-1.5.10-before-1.6.2-insufficient-session-expiration-via-api-ke…
- https://github.com/jordan-dalby/ByteStash/security/advisories/GHSA-26m9-ww2j-3cr5
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.