TastyIgniter: PHP-Objektinjektion über Deserialisierung von Einstellungen
Zusammenfassung
TastyIgniter bis einschliesslich 4.4.5 deserialisiert gespeicherte Einstellungswerte ohne Einschränkung. Ein authentifizierter Administrator kann über das Einstellungsformular im Admin-Bereich ein manipuliertes serialisiertes PHP-Objekt speichern, zum Beispiel in der Einstellung maintenance_message, und so Betriebssystembefehle als PHP-Benutzer der Anwendung ausführen. Der schädliche Wert bleibt aktiv, bis er überschrieben wird. Zum Zeitpunkt der Quellen war kein Herstellerfix verfügbar.
Betroffen
- TastyIgniter bis einschliesslich 4.4.5
- Unbekannt: ob eine neuere Version existiert, da kein Herstellerhinweis oder fixierte Version gefunden wurde
Behoben in
Unbekannt. Zum Zeitpunkt der Quellen war keine korrigierte Version verfügbar.
Umgehung
- Den Zugriff auf den Admin-Bereich (/admin) auf ein VPN oder eine feste IP-Allowlist beschränken. Den Bereich nicht dem öffentlichen Internet aussetzen.
- MFA und eindeutige, starke Passwörter für alle Admin-Konten erzwingen. Nicht benötigte Admin-Konten entfernen.
- Gespeicherte Einstellungen auf unerwartete, serialisiert aussehende Werte prüfen, insbesondere maintenance_message. Diese Prüfung nur lesend durchführen.
Ausnutzung
- Für die Ausnutzung ist ein authentifiziertes Administrator-Konto erforderlich (PR:H).
- Aktive Ausnutzung in freier Wildbahn: nicht bestätigt. Die SSVC-Daten der CISA führen die Ausnutzung mit none an.
- Öffentlicher Proof of Concept: unklar. Der CVE-Eintrag verweist auf ein als exploit markiertes GitHub-Issue, dessen Inhalt nicht geprüft werden konnte.
Unsere Empfehlung
- Prüfen, ob TastyIgniter im Einsatz ist und ob Version 4.4.5 oder eine frühere Version installiert ist.
- Den Admin-Bereich wie oben beschrieben einschränken und MFA für alle Admin-Konten aktivieren.
- Auf neue oder veränderte PHP-Dateien und unerwartete Prozesse unter dem Benutzer des Webservers achten. Bei vermuteter Kompromittierung von einer bekannt guten Kopie neu aufsetzen und Zugangsdaten erneuern.
- Beim Hersteller einen Zeitplan für eine Korrektur anfragen und das GitHub-Issue auf Updates prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub issue #1205 comment (TastyIgniter) github.com
- VulnCheck advisory: TastyIgniter PHP Object Injection via Settings Deserialization www.vulncheck.com
- Vulners CVE-2026-29001 vulners.com
- VulDB 425007 vuldb.com
- OpenCVE CVE-2026-29001 app.opencve.io
- TastyIgniter release v4.4.5 github.com
- Strix CVE-2026-29001 www.strix.ai
- Softaculous: TastyIgniter 4.4.5 update www.softaculous.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.