BlueprintUE Self-Hosted Edition: Ressourcenerschöpfung über anonyme Blueprints

Zusammenfassung

BlueprintUE Self-Hosted Edition ab Version 1.0.0 vor 4.3.5 erlaubt es nicht authentifizierten Angreifern, wiederholt anonyme Blueprints mit der Ablaufeinstellung 'never' zu erstellen. Grosse Anfragen umgehen die Bereinigungsroutinen und können den Speicher des Servers füllen. Dies führt zu einer Denial-of-Service-Situation für die Anwendung und möglicherweise für weitere Dienste auf demselben Host.

Betroffen

• BlueprintUE Self-Hosted Edition 1.0.0 bis einschliesslich vor 4.3.5

Behoben in

• Version 4.3.5 (Fix-Commit 0709b39851bf58febccf0bc74b88fa86070410de, PR #268)

Umgehung

• Unbekannt. Keine vom Hersteller dokumentierte Umgehungsmassnahme gefunden.
• Massnahmen des Analysten, nicht vom Hersteller: Ratenbegrenzung für den Erstellungs-Endpunkt auf einem Reverse Proxy oder WAF sowie Festplattenkontingente auf dem Speichervolumen.

Ausnutzung

• Stand 11. Nov 2026 nicht als ausgenutzt bekannt.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof-of-Concept gefunden, der Fix-Diff macht die Schwachstelle jedoch leicht verständlich.

Unsere Empfehlung

• Alle BlueprintUE Self-Hosted Edition Instanzen und deren Versionen erfassen.
• Jede Instanz unter 4.3.5 aktualisieren und prüfen, dass die Limits für anonyme Erstellung aktiv sind.
• Bis zum Update den Internetzugriff einschränken und freien Speicherplatz sowie schnelles Wachstum des Speichervolumens überwachen.
• Prüfen, ob die Bereinigungsjobs das Problem verdecken, da Blueprints mit Ablaufeinstellung 'never' nicht bereinigt werden.
• Den Fix anhand des Herstellerhinweises GHSA-q2vm-p36g-w596 bestätigen, sobald dessen Text verfügbar ist.
• Das Update auf 4.3.5 deckt ebenfalls die verwandten Fixes CVE-2026-122139 und CVE-2026-122138 ab (anhand der Release Notes prüfen).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126659 www.cve.org
• Fix commit 0709b39 github.com
• Pull request #268 github.com
• Release v4.3.5 github.com
• GitHub Security Advisory GHSA-q2vm-p36g-w596 github.com
• VulnCheck advisory www.vulncheck.com
• OffSeq threat radar radar.offseq.com
• Vulnerable code HomeController.php at v4.3.4 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:22.