onPhase Forms: Server-side Request Forgery im nicht authentifizierten Formulardienst

Zusammenfassung

onPhase Forms in Version 11.0.14 enthält eine Server-side Request Forgery (SSRF) Schwachstelle im nicht authentifizierten Formulardienst. Ein nicht authentifizierter Angreifer kann über ein öffentlich zugängliches Formular eine URL angeben, woraufhin der Server interne Ressourcen anfragt und sensible Daten der internen Apache Solr Instanz offenlegt. Der CVSS 4.0 Wert beträgt 8.7 (Hoch), die Auswirkung beschränkt sich jedoch auf die Vertraulichkeit, ohne Auswirkungen auf Integrität oder Verfügbarkeit.

Betroffen

• onPhase Forms 11.0.14 (gemäss CVE-Eintrag; Standardstatus nicht betroffen)
• Andere Versionen: in den geprüften Quellen nicht als betroffen aufgeführt

Behoben in

• Gemäss CVE-Eintrag (CNA MON-CSIRT): Upgrade auf Version 11.0.17. Der Eintrag nennt zudem, dass der nicht authentifizierte Registrierungs-Endpunkt entfernt wurde, Regeln in einer Sandbox ausgeführt werden, die den Zugriff auf nicht freigegebene Java-Klassen blockiert, und der Document Service Endpunkt (/service) standardmässig deaktiviert ist.
• Das Herstellerdokument konnte nicht gelesen werden, daher ist die korrigierte Version nicht unabhängig verifiziert.

Umgehung

• /frevvo/web/webapp/register und /frevvo/web/**/service auf dem Reverse Proxy oder der Web Application Firewall blockieren (gemäss CVE-Eintrag).
• Das Reaktivieren des Document Service Endpunkts (frevvo.documentServiceApi.enabled=false) bringt das SSRF-Risiko zurück und erfolgt auf eigene Verantwortung des Kunden.

Ausnutzung

• Kein öffentlicher Proof-of-Concept gefunden (VulDB).
• Nicht als in freier Wildbahn ausgenutzt bekannt; KEV: No.
• VulDB stuft die Ausnutzung als einfach ein, obwohl kein Exploit öffentlich bekannt ist.
• EPSS: 0.00386 (niedrig).

Unsere Empfehlung

• Alle onPhase Forms Instanzen inventarisieren und Instanzen in Version 11.0.14 identifizieren.
• Instanzen, die aus dem Internet erreichbar sind, priorisieren: Dies ist der Hauptrisikofall.
• Auf die korrigierte Version aktualisieren und den Patch beim Hersteller bestätigen, da das Herstellerdokument nicht verifiziert wurde.
• Falls das Patchen verzögert wird, die Registrierungs- und /service-Endpunkte auf dem Reverse Proxy oder der WAF blockieren oder das öffentliche Formular vom Netz nehmen.
• Ausgehende Anfragen vom Formularserver in interne Netze einschränken und den Zugriff auf Solr nur von benötigten Hosts erlauben.
• CVE-2026-19677 (kritisch, fehlende Authentifizierung, gleiche Version) gleichzeitig angehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (vulners) vulners.com
• CVE record (vulners cvelist) vulners.com
• onPhase Forms v11.0 Documentation frevvo-docs.atlassian.net
• onPhase Forms Detailed Release Notes v11.0 frevvo-docs.atlassian.net
• HOL Guard CVE summary hol.org
• VulDB entry vuldb.com
• Strix CVE summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:34.