BISHENG: Directory Traversal beim Wissens-Upload über den Dateinamen
Zusammenfassung
BISHENG in den Versionen 2.3.0, 2.4.0 und 2.4.0-beta1 enthält eine Directory-Traversal-Schwachstelle in der Funktion save_download_file. Der hochgeladene Dateiname wird nicht bereinigt, sodass ein manipulierter Name mit ../-Sequenzen Dateien ausserhalb des vorgesehenen Cache-Ordners ablegen kann. Öffentliche Berichte nennen den API-Endpunkt knowledgeUpload als Einstiegspunkt; ein Angreifer mit Netzwerkzugriff kann unter Umständen beliebige Dateien auf dem Host schreiben, was zu Codeausführung oder Datenmanipulation führen kann.
Betroffen
- BISHENG 2.3.0
- BISHENG 2.4.0
- BISHENG 2.4.0-beta1
- Das Upstream-Issue #1994 führt die neueste Version vom 20.04.2026 als betroffen auf; der genaue Bereich ist nicht bestätigt.
Behoben in
Unbekannt. Es wurde keine Herstellerempfehlung oder Versionshinweis mit einer korrigierten Version gefunden.
Umgehung
- Netzwerkzugriff auf BISHENG einschränken und die Anwendung nicht direkt dem Internet aussetzen; VPN oder SSO verwenden.
- Den BISHENG-Dienst mit minimalen Rechten betreiben und die Schreibrechte auf die eigenen Datenverzeichnisse beschränken.
- Upload-Protokolle auf Dateinamen mit Pfadtrennzeichen oder Verweisen auf übergeordnete Verzeichnisse prüfen.
- Die Anzahl der Konten einschränken, die die Upload-Funktionen nutzen können.
Ausnutzung
- Ein öffentliches Gist mit Reproduktionshinweisen existiert; dessen Inhalt wurde nicht geprüft.
- SSVC-Bewertung: Exploit-PoC vorhanden, automatisierbar: ja, technische Auswirkung: total.
- Laut einer sekundären Quelle nicht im CISA-KEV-Katalog; auf cisa.gov prüfen.
- Ausnutzung in freier Wildbahn: Unbekannt.
Unsere Empfehlung
- Alle BISHENG-Instanzen der Versionen 2.3.x und 2.4.0 inventarisieren, einschliesslich Docker-Deployments.
- Direkte Internetexposition entfernen und SSO- oder VPN-Zugriff erzwingen.
- Sobald ein Fix bestätigt ist, auf der Release-Seite von dataelement/bisheng einspielen.
- Bis dahin die oben genannten Workarounds anwenden und die NVD sowie das GitHub-Issue auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51859 gist (Ro1ME) gist.github.com
- GitHub issue #1994 dataelement/bisheng github.com
- VulnCheck/Vulnrichment CVE-2026-51859 vulners.com
- VulDB CVE-2026-51859 vuldb.com
- BISHENG GitHub repository github.com
- BISHENG releases github.com
- GitHub issue #1993 dataelement/bisheng github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.