ConvertX: Cross-Site Request Forgery ermöglicht Löschen des Auftragsverlaufs

Zusammenfassung

ConvertX, ein selbst gehosteter Dienst zur Dateikonvertierung, löscht Aufträge über eine HTTP-GET-Anfrage an /delete/{id}, die keinen CSRF-Schutz besitzt. Wenn ein angemeldeter Benutzer attacker-kontrollierte Inhalte besucht, sendet der Browser das Sitzungs-Cookie mit, und der betroffene Auftrag wird gelöscht, was zum Verlust des Verlaufs konvertierter Dateien führt. Der Angreifer kann keine Dateien lesen; der Angriff setzt voraus, dass das Opfer angemeldet ist und die präparierte Seite besucht.

Betroffen

• ConvertX-Versionen vor 0.18.0
• Betroffener Endpunkt: /delete/{id}

Behoben in

• Version 0.18.0 (Fix-Commit e1253267208e439f28c4ffcaff7a81d62cdffadb gemäss Security-Advisory GHSA-63w7-h5q8-hcrj; bitte prüfen, ob der Commit im Tag v0.18.0 enthalten ist)

Umgehung

• Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
• Bis zum Patch: Zugriff auf vertrauenswürdige Netze oder VPN beschränken, die Anzahl der Konten begrenzen und denselben Browser nicht für ConvertX und allgemeines Surfen verwenden.

Ausnutzung

• Nicht als ausgenutzt bekannt (CISA SSVC: Exploitation none, Automatable no).
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• ConvertX auf Version 0.18.0 oder neuer aktualisieren, einschliesslich Pakete von Umbrel oder TrueNAS.
• Prüfen, ob die Instanz aus dem Internet erreichbar ist, und den Zugriff wenn möglich einschränken.
• Das Datenvolumen sichern, damit der Auftragsverlauf bei Bedarf wiederhergestellt werden kann.
• Auf unerwarteten Verlust des Auftragsverlaufs achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-63w7-h5q8-hcrj github.com
• Fix commit e1253267208e439f28c4ffcaff7a81d62cdffadb github.com
• ConvertX Release v0.18.0 github.com
• OSV: CVE-2026-59977 osv.dev
• VulDB entry 417198 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:57.