SOCFortress CoPilot: Server-side Template Injection führt zu Codeausführung
Zusammenfassung
CoPilot vor Version 0.1.76 rendert Fallvorlagen für Berichte mit einer nicht gesicherten Jinja2-Engine. Ein Benutzer mit der niedrigsten Portalrolle customer_user kann eine manipulierte Vorlage hochladen, die beim Erstellen eines Berichts durch einen Administrator oder Analysten als Python-Code ausgeführt wird. In der gemeldeten Installation war so die Ausführung von Befehlen als root möglich, wodurch Daten aller Mandanten und gespeicherte Connector-Zugangsdaten offenliegen. Der PDF-Renderer erlaubte zusätzlich das Lesen lokaler Dateien und Anfragen an interne Dienste.
Betroffen
- SOCFortress CoPilot Versionen vor 0.1.76
Behoben in
- Behoben in Version 0.1.76
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Nicht im CISA KEV-Katalog aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Ein gültiges Konto im Kundenportal ist erforderlich.
Unsere Empfehlung
- CoPilot prioritär auf Version 0.1.76 oder neuer aktualisieren, insbesondere wenn das Portal aus dem Internet erreichbar ist oder Kundenkonten existieren.
- Konten mit der Rolle customer_user prüfen und nicht benötigte Konten entfernen.
- Den Speicher der Berichtsvorlagen auf unerwartete oder veränderte Vorlagen prüfen.
- Den Netzwerkzugriff auf die Weboberfläche von CoPilot bis zur Aktualisierung einschränken.
- CVE-2026-61708 (fehlerhafte Zugriffskontrolle) im gleichen Aktualisierungszyklus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-7q83-228r-wfh5 github.com
- Fix commit a5ed4a2 github.com
- Pull Request #936 github.com
- CoPilot release tag v0.1.76 github.com
- VulDB CVE-2026-61707 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.