Netherman Portal del Hermano: Kontoübernahme über Password-Reset-Orakel
Zusammenfassung
Netherman Portal del Hermano, das Mitgliederportal der NetHerman-Plattform für spanische Bruderschaften, weist eine fehlerhafte Authentifizierung im Passwort-Wiederherstellungsprozess auf. Nicht authentifizierte Angreifer können fehlendes Rate Limiting und unterschiedliche Fehlermeldungen ausnutzen, um Identitätsmerkmale wie DNI, Geburtsdatum, Telefonnummer und IBAN-Ziffern zu prüfen. Anschliessend können sie eine eigene E-Mail-Adresse angeben, sodass der Reset-Link an sie geliefert wird. Dadurch ist eine vollständige Übernahme von Mitgliedskonten über alle Mandanten möglich, einschliesslich Profildaten, vollständiger IBAN und Steuerdokumenten.
Betroffen
- Netherman Portal del Hermano (portaldelhermano.es), alle Mandanten
- Versionen vor 2026-10-06 gemäss CVE-Eintrag und VulnCheck
- Genaue betroffene Versionsnummern: Unbekannt.
Behoben in
- Bestätigung durch den Hersteller: Unbekannt.
- Drittquellen nennen 2026-10-06 als korrigierte Version; dies ist nicht bestätigt.
Umgehung
- Unbekannt. Im CVE-Eintrag und in den Quellen ist kein Workaround dokumentiert.
- Da es sich um ein gehostetes Portal handelt, muss die Korrektur durch den Hersteller eingespielt werden.
Ausnutzung
- Nicht im CISA KEV aufgeführt; keine bekannte Ausnutzung gemeldet.
- VulDB: bekannte technische Details, kein öffentlicher Exploit verfügbar, Ausnutzung gilt als einfach.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob ein Kunde oder dessen Mitglieder dieses Portal nutzen.
- Den Hersteller schriftlich bitten, die korrigierte Version und das Datum der Einspielung zu bestätigen.
- Den Hersteller bitten, die Logs auf Missbrauch der Passwort-Zurücksetzung und ungewöhnliche Kontoänderungen zu prüfen.
- Betroffene Mitglieder anweisen, ihre Passwörter zu ändern und ihre Kontoauszüge zu kontrollieren.
- Falls Schweizer Personendaten betroffen sind, Meldepflichten nach dem revidierten Datenschutzgesetz (revDSG) prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-53997 advisory (beafn28.es) beafn28.es
- VulnCheck advisory www.vulncheck.com
- NetHerman vendor website netherman.app
- VulDB entry 417224 vuldb.com
- OpenCVE CVE-2026-53997 app.opencve.io
- HOL Guard CVE-2026-53997 hol.org
- Strix CVE-2026-53997 www.strix.ai
- Rapid7 entry via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.