Qexo: Fehlende Authentifizierung im Initialisierungs-Endpunkt erlaubt Zurücksetzen und Offenlegung von Zugangsdaten
Zusammenfassung
Qexo, ein Open-Source-Online-Editor für statische Blogs, stellt den Endpunkt /api/init_step/ ohne Authentifizierung oder Prüfung des Abschlusses der Einrichtung bereit. Ein nicht authentifizierter Angreifer, der ein gültiges CSRF-Token von einer öffentlichen Seite erhält, kann den ersten Initialisierungsschritt senden und die Einstellung INIT zurücksetzen, sodass die Instanz erneut in den Einrichtungsablauf wechselt. Die Antwort der Einrichtung und die Seite /init/ können zudem gespeicherte PROVIDER-Konfigurationen mit Dienst-Zugangsdaten offenlegen.
Betroffen
- Qexo 4.0.0 bis einschliesslich 4.1.x (vor 4.2.0)
Behoben in
- Behoben in Qexo 4.2.0
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Umgehungsmassnahme.
- Zugriff auf /init/ und /api/init_step/ auf Reverse-Proxy- oder Firewall-Ebene einschränken oder nur Administrator-IP-Adressen erlauben, bis die Instanz aktualisiert ist.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Qexo-Instanzen inklusive Docker- oder Drittanbieter-Images und deren Versionen erfassen.
- Auf Qexo 4.2.0 oder neuer aktualisieren.
- Zugriffsprotokolle auf Anfragen an /init/ und /api/init_step/ prüfen.
- Alle gespeicherten Zugangsdaten für Provider und Dienste rotieren, falls eine betroffene Instanz aus dem Internet erreichbar war.
- Prüfen, ob der INIT-Status korrekt ist und der Einrichtungsablauf nicht erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Qexo fix commit 3782750 github.com
- Qexo release 4.2.0 github.com
- GHSA-qfv8-hj33-4232 security advisory github.com
- OSV entry CVE-2026-44828 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.