OpenHop Server: Path Traversal bei Dateioperationen über Flow-IDs
Zusammenfassung
OpenHop, ein Werkzeug zur Erstellung interaktiver Datenflussdiagramme, validiert Flow-IDs in den Server-Routen nicht, bevor daraus Dateipfade gebildet werden. Ein nicht authentifizierter Angreifer kann YAML-Dateien ausserhalb des Flow-Verzeichnisses lesen oder löschen, was Konfigurationen oder Geheimnisse offenlegen und abhängige Dienste stören kann. Die CORS-Richtlinie erlaubte zudem jeden Browser-Ursprung, sodass eine bösartige Webseite eine nur auf Loopback gebundene Instanz erreichen konnte; Docker-Deployments, die standardmässig auf allen Schnittstellen lauschen, sind direkt aus dem Netzwerk erreichbar.
Betroffen
- @openhop/server (OpenHop) Versionen vor 0.3.7 (CVE-Eintrag)
- Advisory-Spiegel listen das npm-Paket als betroffen unterhalb 0.3.6; die genaue Korrekturversion ist nicht verifiziert
Behoben in
- Auf 0.3.7 oder neuer aktualisieren (Fix-Commit c8190fbefa3a50e7b0c16c001d2e05b0e920cfb4, PR #190)
Umgehung
- Den Dienst nicht auf 0.0.0.0 binden; auf Loopback belassen oder hinter einer Firewall betreiben
- Den Standard HOST=0.0.0.0 in Docker vermeiden, sofern kein authentifizierender Reverse Proxy davor steht
- Flow-YAML-Dateien bis zur Aktualisierung sichern
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc' (öffentlicher Proof of Concept vorhanden)
- CISA SSVC: nicht automatisierbar; technische Auswirkung partiell
- EPSS 0,39 %
- Keine Meldung über Ausnutzung in freier Wildbahn gefunden (nicht gegen den CISA-KEV-Katalog geprüft)
Unsere Empfehlung
- @openhop/server auf 0.3.7 oder neuer aktualisieren
- Lockfiles und ausgerollte Manifeste auf @openhop/server prüfen
- Server nicht unkontrollierten Netzwerken aussetzen; Port-Bindings in Docker einschränken
- Flow-YAML-Dateien sichern und auf unerwartete Änderungen oder Löschungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g72f-jw3w-mgh7 github.com
- Fix commit c8190fb github.com
- Pull Request #190 github.com
- Release v0.3.7 github.com
- GitLab Advisory Database (npm @openhop/server) advisories.gitlab.com
- OSV GHSA-g72f-jw3w-mgh7 osv.dev
- Tenable plugin 447875 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:07.
Referenzen der NVD (5)
- https://github.com/naorsabag/openhop/commit/c8190fbefa3a50e7b0c16c001d2e05b0e920cfb4
- https://github.com/naorsabag/openhop/pull/190
- https://github.com/naorsabag/openhop/releases/tag/v0.3.7
- https://github.com/naorsabag/openhop/security/advisories/GHSA-g72f-jw3w-mgh7
- https://github.com/naorsabag/openhop/security/advisories/GHSA-g72f-jw3w-mgh7
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.