FearlessCMS: Remote Code Execution über unvalidierte Updater-Repository-URL

Zusammenfassung

FearlessCMS ist ein Flat-File-Content-Management-System. Ein authentifizierter Administrator kann im integrierten Updater eine beliebige Git-Repository-URL festlegen, die geklont wird; anschliessend werden die aktiven Verzeichnisse plugins/, admin/ und includes/ ersetzt, ohne Identität, Signaturen oder Inhalte zu prüfen. Da der Router des PHP-Entwicklungsservers vorhandene PHP-Dateien unter plugins/ ausführt, kann angreifergelieferter Code mit den Rechten des Webservers laufen und als Backdoor persistieren.

Betroffen

• FearlessCMS 0.1.2b und älter
• Versionen vor 0.1.3b gelten laut CNA als betroffen; eine Quelle nennt 0.1.3a als obere Grenze, daher sind 0.1.3a und älter als betroffen zu behandeln
• Frische Installationen sind betroffen

Behoben in

• Behoben in FearlessCMS 0.1.3b (gemäss Herstellerhinweis)
• Neuere Version 0.1.4b oder höher ist verfügbar; das Repository ist archiviert und schreibgeschützt

Umgehung

• Zugriff auf /admin auf vertrauenswürdige IP-Bereiche oder ein VPN beschränken
• MFA für Administratorkonten erzwingen und Administratorkonten überprüfen
• Den integrierten PHP-Entwicklungsserver nicht produktiv betreiben
• Updater-Funktion deaktivieren oder entfernen, falls sie nicht benötigt wird
• plugins/, admin/ und includes/ auf unerwartete PHP-Dateien überwachen und mit einer bekannt guten Kopie vergleichen

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden
• Status im CISA-KEV-Katalog nicht bestätigt; direkt im CISA-Katalog prüfen
• Öffentlicher Proof of Concept: unklar
• Angreifer benötigt Administratorrechte (PR:H); CISA SSVC führt die Ausnutzung als PoC und Automatisierbarkeit als nein

Unsere Empfehlung

• Alle FearlessCMS-Installationen inklusive Docker-Images inventarisieren
• Auf 0.1.4b oder höher aktualisieren, was auch die separate kritische Schwachstelle CVE-2026-63190 abdeckt
• Bis zum Patch den Administratorzugriff einschränken und plugins/, admin/ und includes/ auf unerwartete PHP-Dateien prüfen
• Administratorzugangsdaten und Datenbank-Geheimnisse auf jeder ungepatchten, aus dem Internet erreichbaren Instanz rotieren
• Prüfen, ob das Upstream-Projekt noch gepflegt wird, da das Repository archiviert ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-56wm-3q3v-m93m github.com
• Fix commit 6dba91d github.com
• Release 0.1.3 github.com
• Pull Request #64 github.com
• OSV entry CVE-2026-55695 osv.dev
• Strix CVE-2026-55695 www.strix.ai
• VulDB 417775 vuldb.com
• VulDB 428198 (CVE-2026-63190) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:46.