Lagarto Chivato: Unkontrollierte Ressourcennutzung in publicar_aviso-Funktion

Zusammenfassung

Lagarto Chivato, eine Webanwendung, begrenzt nicht, wie viele Meldungen ein authentifizierter Benutzer über die Funktion publicar_aviso einreichen kann. Es gibt kein Rate Limiting, keine Kontingente pro Konto und keine Validierung der geografischen Koordinaten. Ein Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen kann die Moderationswarteschlange fluten; laut Hersteller-Advisory sind bis zu 233 Meldungen pro Minute von einem einzigen Konto möglich. Betroffen ist nur die Verfügbarkeit des Moderationsprozesses (CVSS 3.1 4.3, Mittel).

Betroffen

• Lagarto Chivato 0.1.0 bis 0.4.1 (CVE-Eintrag)
• Versionen 0.4.2 und 0.4.3: Status unklar, da VulDB einen anderen Bereich angibt (bis 0.4.1/0.4.3)

Behoben in

• Aktualisierung auf Version 0.4.4 (CVE-Eintrag und VulDB)

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden.

• Übergangsmassnahmen (nicht aus einer Quelle): Kontoerstellung einschränken, Selbstregistrierung prüfen oder deaktivieren, Moderationswarteschlange auf Flutung überwachen und den Zugriff auf die Weboberfläche bis zur Aktualisierung auf vertrauenswürdige Benutzer begrenzen.

Ausnutzung

• VulDB: technische Details sind bekannt, ein Exploit ist jedoch nicht verfügbar
• OffSeq: keine bekannte Ausnutzung
• Zum Zeitpunkt der Erstellung wurden kein öffentlicher Proof of Concept, keine Ausnutzung in freier Wildbahn und kein Eintrag im CISA-KEV-Katalog gefunden

Unsere Empfehlung

• Prüfen, ob ein Kunde Lagarto Chivato einsetzt und welche Version läuft
• Betroffene Installationen im normalen Patch-Zyklus auf 0.4.4 aktualisieren; Plattformen mit öffentlichem Zugang und offener Registrierung priorisieren
• Bis dahin Selbstregistrierung einschränken oder prüfen und die Moderationswarteschlange auf ungewöhnliche Meldevolumen überwachen
• Hersteller-Advisory, NVD und CISA auf Aktualisierungen beobachten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126784 www.cve.org
• VulDB vulnerability 435975 vuldb.com
• OffSeq threat radar entry radar.offseq.com
• CVE Threatint mirror cve.threatint.com
• Grayback security advisories (Spanish) www.grayback.es
• Grayback security advisories (English) www.grayback.es

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:25.