MineAdmin: Path Traversal im App-Store-Plugin bei Installation und Deinstallation
Zusammenfassung
Der App-Store-Plugin-Dienst von MineAdmin verwendet vom Benutzer gelieferte Kennungen ungeprüft in Dateisystempfaden. Ein Angreifer kann mit Path-Traversal-Sequenzen Plugins aus beliebigen Verzeichnissen lesen, installieren oder deinstallieren und unter Umständen beliebige Composer-Befehle ausführen. Für die Ausnutzung ist Zugriff auf die betroffenen Endpunkte nötig, und die dafür erforderlichen Berechtigungen sind in den Quellen widersprüchlich angegeben.
Betroffen
- MineAdmin (Composer-Paket mineadmin/mineadmin) vor Version 3.2.0-alpha.2
- Betroffene Komponente: App-Store-Plugin (admin/plugin/store-Endpunkte)
Behoben in
- Version 3.2.0-alpha.2 (Fix-Commit ca41902a2a5422676227e5088f4cc1dec06044f1, Pull Request #728)
Umgehung
- Kein Workaround vom Hersteller dokumentiert.
- Zugriff auf die Endpunkte admin/plugin/store auf Reverse Proxy oder WAF einschränken, bis das Update eingespielt ist.
Ausnutzung
- Ein öffentliches GHSA und eine technische Analyse sind verfügbar; eine Scanner-Vorlage existiert.
- CISA SSVC: Ausnutzungsstatus poc, automatisierbar ja, technische Auswirkung partiell.
- Keine Berichte über aktive Ausnutzung in freier Wildbahn gefunden; CISA KEV nicht direkt geprüft.
Unsere Empfehlung
- Prüfen, ob MineAdmin installiert ist und welche Version läuft.
- Auf 3.2.0-alpha.2 oder neuer aktualisieren; die neueste stabile Version auf der Releases-Seite prüfen.
- Plugin-Verzeichnis und aktuelle App-Store-Aktivitäten auf unerwartete Änderungen prüfen.
- Nicht benötigte Admin-Konten entfernen und Zugriffstoken überprüfen.
- Internetseitig erreichbare Instanzen priorisieren; exponierte, ungepatchte Instanzen bis zur Prüfung als möglicherweise kompromittiert behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-59xm-4m8c-g3xj github.com
- Fix commit ca41902 github.com
- Pull request #728 github.com
- Release v3.2.0-alpha.2 github.com
- SecureLayer7 technical analysis securelayer7.net
- GitLab advisory database entry advisories.gitlab.com
- Vulnrichment (CISA SSVC) vulners.com
- CVE Security tracker cve-security.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:35.
Referenzen der NVD (5)
- https://github.com/mineadmin/MineAdmin/commit/ca41902a2a5422676227e5088f4cc1dec06044f1
- https://github.com/mineadmin/MineAdmin/pull/728
- https://github.com/mineadmin/MineAdmin/releases/tag/v3.2.0-alpha.2
- https://github.com/mineadmin/MineAdmin/security/advisories/GHSA-59xm-4m8c-g3xj
- https://github.com/mineadmin/MineAdmin/security/advisories/GHSA-59xm-4m8c-g3xj
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.