Lagarto Chivato: Pre-Account-Hijacking über hinterlegtes Passwort

Zusammenfassung

Lagarto Chivato, eine passwortlose Webanwendung, erlaubt es einem nicht authentifizierten Angreifer aus der Ferne, beliebige Benutzerkonten zu übernehmen. Der Angreifer hinterlegt ein Passwort für eine noch nicht registrierte E-Mail-Adresse, und das Konto wird zugänglich, sobald sich das Opfer erstmals passwortlos anmeldet. Es werden keine Zugangsdaten des Benutzers benötigt, das Opfer muss jedoch eine passwortlose Anmeldung durchführen, weshalb eine Benutzerinteraktion erforderlich ist.

Betroffen

• XauenDevs Lagarto Chivato 0.1.0 bis 0.4.2 (gemäss CVE-Eintrag); die Beschreibung nennt 0.4.1 und älter
• Widersprüchliche Angaben: Einige Quellen nennen den Bereich bis 0.4.1 oder 0.4.3
• Unbekannt, ob dies für jede Konfiguration gilt

Behoben in

• Unbekannt. Der CVE-Eintrag führt 0.4.4 als nicht betroffen auf, dies ist jedoch in der Herstellerinformation zu dieser CVE noch nicht bestätigt.

Umgehung

• Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Prüfen Sie, ob Lagarto Chivato in Ihrer Umgebung eingesetzt wird und ob die Anwendung aus dem Internet erreichbar ist.
• Aktualisieren Sie auf Version 0.4.4 oder neuer, sobald der Hersteller die Behebung bestätigt, und verifizieren Sie die korrigierte Version im Advisory von Grayback.
• Beschränken Sie bis zur Behebung den Zugriff auf die Anwendung und prüfen Sie Konten, die über eine passwortlose Anmeldung erstellt oder erstmals genutzt wurden, auf unerwartete Aktivitäten.
• Verfolgen Sie das Hersteller-Advisory und den CISA-KEV-Katalog auf Aktualisierungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Grayback security advisories (EN) www.grayback.es
• Grayback security advisories (ES) www.grayback.es
• VulDB entry for sibling CVE with version data vuldb.com
• Account pre-hijacking background en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:21.