onPhase Forms: Authentifizierungsumgehung mit Befehlsausführung auf dem Server
Zusammenfassung
onPhase Forms in Version 11.0.14 enthält eine Authentifizierungsumgehung im öffentlichen Registrierungsformular (Pfad onPhase/). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann sich mit einem gültigen Tenant-Namen und einer bestehenden Benutzerkennung registrieren, sich als beliebiger Tenant-Benutzer anmelden, TenantAdmin- und Designer-Rechte erlangen und beliebige Betriebssystembefehle auf dem Server ausführen. Es ist nur Netzwerkzugriff auf das Registrierungsformular nötig; eine Benutzerinteraktion ist nicht erforderlich.
Betroffen
- onPhase Forms 11.0.14 (CNA-Eintrag; die Standardkonfiguration gilt als nicht betroffen)
- Frühere Versionen sind nicht als betroffen aufgeführt, dies ist jedoch nicht unabhängig bestätigt.
Behoben in
- Upgrade auf 11.0.17 (CNA-Eintrag).
- Einzelne Quellen nennen stattdessen 11.0.15. Vor Patch-Entscheidungen die Versionshinweise des Herstellers auf den ersten behobenen Build prüfen.
Umgehung
- /frevvo/web/webapp/register und /frevvo/web/**/service am Reverse Proxy oder an der WAF blockieren, bis das Upgrade erfolgt ist (CNA-Eintrag).
- Den Document-Service-Endpunkt deaktiviert lassen (frevvo.documentServiceApi.enabled=false); eine Reaktivierung birgt ein Risiko für Server-Side Request Forgery.
- Den öffentlichen Zugriff auf das Registrierungsformular einschränken, falls der Betrieb ihn nicht benötigt.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt; in einem Tracker nicht als KEV gelistet.
- Kein öffentlicher Proof-of-Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
- EPSS-Wert ist niedrig (0.00533 laut einem Aggregator).
- Der NVD-Status war zum Zeitpunkt der Recherche noch Awaiting Analysis.
Unsere Empfehlung
- Alle onPhase-Forms- / frevvo-Instanzen inventarisieren und die genaue Version bestätigen.
- Falls eine Instanz in Version 11.0.14 aus dem Internet erreichbar ist, den öffentlichen Registrierungspfad sofort blockieren.
- Auf 11.0.17 aktualisieren oder auf den in den Versionshinweisen des Herstellers bestätigten behobenen Build.
- Logs prüfen auf Anfragen an den Registrierungspfad, unbekannte Tenant-Benutzer, Administratorkonten und unerwartete Serverprozesse.
- Falls das Produkt nicht vorhanden ist oder nicht in Version 11.0.14 läuft, ist über die normale Überwachung hinaus keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- onPhase Forms v11.0 Documentation frevvo-docs.atlassian.net
- onPhase Forms v11.0 Detailed Release Notes frevvo-docs.atlassian.net
- Vulners CVE-2026-19677 vulners.com
- VulDB CVE-2026-19677 vuldb.com
- VulDB vulnerability 425553 vuldb.com
- Strix CVE-2026-19677 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.