Docat: Beliebiger Dateiupload in der Upload-API
Zusammenfassung
Docat, ein Werkzeug zum Hosten versionierter statischer Dokumentation, prüft Pfad und Typ der über die Upload-API hochgeladenen Dateien nicht. Ein Angreifer, der die API erreichen kann, kann sensible Konfigurationsdateien überschreiben oder schädliche Dateien auf dem Webserver ablegen. Je nach Deployment kann dies zu Remote Code Execution oder Cross-Site Scripting führen. Ob in einer Standardkonfiguration eine Anmeldung oder ein API-Schlüssel nötig ist, ist unbekannt.
Betroffen
- docat (docat-org) Versionen vor 1.6.0
Behoben in
- Version 1.6.0 mildert Path Traversal über Dateinamen (Fix-Commit 85fc40e).
- Für Version 1.6.0 ist nicht bestätigt, dass das Problem mit unbeschränkten Dateitypen oder die deploymentabhängigen Auswirkungen schädlicher Inhalte behoben ist.
- Unbekannt ist, ob Version 1.6.1 weitere Korrekturen für diese Schwachstelle enthält.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Allgemeine Härtung: Zugriff auf die Upload-API auf vertrauenswürdige interne Netze oder VPN beschränken und docat mit einem Dienstkonto betreiben, das nicht in das Webroot oder in Konfigurationspfade schreiben kann.
Ausnutzung
- Gemäss OffSeq nicht bekannt, dass die Schwachstelle ausgenutzt wird.
- VulDB stuft sie als 0-Day ein, ohne verfügbaren Exploit.
- Kein öffentlicher Proof of Concept aus einer primären Quelle gefunden.
- Der Status im CISA KEV ist nicht verifiziert.
Unsere Empfehlung
- Alle docat-Instanzen, auch interne, inventarisieren und deren Versionen erfassen.
- Auf Version 1.6.0 oder neuer aktualisieren und die neuesten Release-Notes sowie das GitHub-Advisory auf weitere Korrekturen prüfen.
- Die Upload-API auf vertrauenswürdige Netze beschränken und nicht dem Internet aussetzen.
- docat mit einem Konto mit minimalen Rechten betreiben, das nicht in das Webroot oder in Konfigurationsdateien schreiben kann.
- Upload-Logs und das Webroot auf unerwartete Nicht-HTML-Dateien prüfen.
- Den NVD-Eintrag und das GitHub-Advisory GHSA-jcxj-j5qf-8crw auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 85fc40e github.com
- docat release 1.6.0 github.com
- GitHub Security Advisory GHSA-jcxj-j5qf-8crw github.com
- VulDB CVE-2026-61645 vuldb.com
- VulDB 428790 vuldb.com
- TheHackerWire CVE-2026-61645 www.thehackerwire.com
- OffSeq Radar CVE-2026-61645 radar.offseq.com
- ThreatInt CVE-2026-61645 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.