OpenCATS: Authentifizierte Remote Code Execution über hochgeladene Importdatei

Zusammenfassung

OpenCATS vor Version 0.10.0 erlaubt einem authentifizierten Benutzer mit Import-Berechtigung, über das Import-Modul eine PHP-Datei hochzuladen, die unter einem vom Angreifer gewählten ausführbaren Dateinamen im webzugänglichen temporären Verzeichnis verbleibt. Wenn dieses Verzeichnis PHP ausführt, führt der Aufruf der bereitgestellten Datei beliebigen Code mit den Rechten des Webservers aus, wodurch Recruiting-Daten und das Hostsystem offengelegt oder verändert werden können. Der CVSS-Basiswert 9.1 stammt aus dem CVE-Eintrag; der NVD-Status ist Deferred.

Betroffen

• OpenCATS-Versionen vor 0.10.0
• Die Exponierung hängt davon ab, ob der Webserver PHP im temporären Upload-Verzeichnis ausführt

Behoben in

• Auf OpenCATS 0.10.0 oder neuer aktualisieren

Umgehung

• Sicherstellen, dass das temporäre Upload-Verzeichnis (CATS_TEMP_DIR) keine PHP- oder andere serverseitige Skripte ausführen kann
• Import-Berechtigungen auf wenige vertrauenswürdige Benutzer beschränken
• Unbekannt, ob Standardinstallationen oder übliche Webserver-Konfigurationen das temporäre Verzeichnis ausführbar lassen.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden; die CVE ist nicht im CISA KEV-Katalog gelistet.
• Kein öffentlicher Proof-of-Concept gefunden, eine erschöpfende Prüfung wurde jedoch nicht durchgeführt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Alle OpenCATS-Instanzen auf Version 0.10.0 oder neuer aktualisieren.
• Bis zur Aktualisierung prüfen, dass das temporäre Upload-Verzeichnis kein PHP ausführt, und Import-Berechtigungen einschränken.
• Benutzerkonten mit Import-Berechtigungen überprüfen und das temporäre Verzeichnis auf unerwartete PHP-Dateien kontrollieren.
• Instanzen, die aus dem Internet erreichbar sind, priorisieren, da Kandidatendaten mit Personenbezug betroffen sein können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v9gx-5qhj-jf7c github.com
• OpenCATS release v0.10.0 github.com
• Fix commit 7f15174 github.com
• Pull request #808 github.com
• OSV record CVE-2026-54454 osv.dev
• VulDB entry 417799 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:46.