HTMLy: Server-side request forgery with arbitrary file read

Zusammenfassung

HTMLy 3.1.1 übergibt den url-Parameter des Feed-Imports (POST /admin/import) ohne Einschränkung des URL-Schemas direkt an file_get_contents() in get_feed(). Ein Angreifer mit gültiger Admin-Sitzung und CSRF-Token kann über file:// oder ähnliche Wrapper lokale Dateien lesen, etwa den Passwort-Hash des Admins, und interne Netzwerkdienste sondieren. Der NVD-Text beschreibt dies als Privilege Escalation, und der Score 9.8 setzt keine Anmeldung voraus, was im Widerspruch zur detaillierten Beschreibung steht; die genaue Auswirkung ist daher noch nicht bestätigt.

Betroffen

• HTMLy 3.1.1 (in den Advisory-Referenzen genannt)
• OSV führt einen betroffenen Bereich ab v2.9.9; dies widerspricht der CVE und ist unbestätigt
• Unbekannt.

Behoben in

Unbekannt. Es wurde kein Sicherheitshinweis des Herstellers und kein korrigiertes Release gefunden. Ein offener Pull Request für v3.2.0 existiert, seine Korrektur für diese CVE ist jedoch nicht bestätigt.

Umgehung

• Die Feed-Import-Funktion deaktivieren, falls sie nicht benötigt wird.
• display_errors=Off in der Produktion belassen (dies entfernt die Rückmeldung von Daten, behebt die SSRF aber nicht).
• Zugriff auf /admin einschränken (IP-Allowlist, VPN oder Authentifizierung am Reverse Proxy) und starke, eindeutige Admin-Passwörter mit MFA durchsetzen, wo unterstützt.

Ausnutzung

• Auf GitHub existiert eine öffentliche Proof-of-Concept-Beschreibung; der Autor meldet eine Validierung in einer Laborumgebung.
• CISA-SSVC-Bewertung: Exploitation 'poc', automatisierbar: ja, technische Auswirkung: total.
• VulDB meldet keinen verfügbaren Exploit (veralteter Eintrag).
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Prüfen, ob in Kundenumgebungen eine HTMLy-Installation existiert.
• Feed-Import-Funktion deaktivieren und Zugriff auf /admin einschränken, bis eine Korrektur des Herstellers bestätigt ist.
• Admin-Konten überprüfen, Admin-Passwörter rotieren und, wo möglich, MFA aktivieren.
• Die Release-Seite von HTMLy überwachen und die Korrektur des Herstellers sofort einspielen, sobald sie verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  KyrieKlay/CVE-2026-37107

Quellen der Recherche

• CVE-2026-37107 researcher write-up (GitHub Gist) gist.github.com
• HTMLy v3.1.1 release github.com
• CVE-2026-37107 proof-of-concept repository github.com
• VulDB entry 417860 vuldb.com
• OSV entry CVE-2026-37107 osv.dev
• Third-party intelligence entry 845149 cve.imfht.com
• HTMLy project website www.htmly.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:01.