PuMuKIT: Unbeschränkter Datei-Upload durch nicht authentifizierte Benutzer
Zusammenfassung
PuMuKIT, eine Open-Source-Videoplattform, beschränkt Typ und Zielpfad hochgeladener Dateien nicht (CWE-434). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann beliebige Dateitypen in jeden Pfad hochladen, auf den der Webserver-Benutzer Schreibrechte hat, und zudem Dateien löschen. Der CVSS-4.0-Score beträgt 8.8 (High); das Ausmass der Auswirkungen hängt von der Webserver-Konfiguration und den Schreibberechtigungen ab.
Betroffen
- PuMuKIT-Versionen vor 5.0.8, gemäss der Meldung von INCIBE
- Der CVE-Eintrag nennt nur "current version"; der betroffene Bereich ist vom Hersteller nicht bestätigt
Behoben in
- Unbekannt. INCIBE meldet derzeit keine Lösung.
- Version 5.0.8 ist die erste Version ausserhalb des angegebenen betroffenen Bereichs, doch es ist kein Herstellerfix oder Changelog-Eintrag bestätigt.
Umgehung
- Upload-Endpunkte am Reverse Proxy oder WAF auf authentifizierte oder vertrauenswürdige Clients beschränken, sofern die Umgebung dies zulässt.
- Die Webanwendung nur mit Schreibzugriff auf die dafür nötigen Verzeichnisse betreiben.
- Skriptausführung in Upload- und Medienverzeichnissen blockieren.
- Beschreibbare Pfade auf neue oder geänderte Dateien überwachen und Integritäts-Baselines sowie Backups führen.
Ausnutzung
- Gemäss aktuellem Stand nicht bekanntermassen in freier Wildbahn ausgenutzt.
- Nicht im CISA-KEV-Katalog gelistet (laut Strix; der Katalog wurde nicht direkt geprüft).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle PuMuKIT-Instanzen inventarisieren, auch jene, die von Partnern oder Hosting-Anbietern betrieben werden.
- Die installierte Version beim Hersteller oder bei INCIBE bestätigen und Versionen vor 5.0.8 als verwundbar behandeln, bis ein Fix bestätigt ist.
- Die oben genannten Workarounds umsetzen und die Internetexposition von Upload-Funktionen einschränken.
- Beschreibbare Verzeichnisse auf unerwartete Dateien überwachen und Logs auf Upload-Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT advisory www.incibe.es
- CVE record mirror (threatint) cve.threatint.com
- Strix CVE details www.strix.ai
- OffSeq threat radar radar.offseq.com
- VulDB entry vuldb.com
- EUVD euvd.enisa.europa.eu
- PuMuKIT project website pumukit.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.