Daptin: Denial of Service über manipulierten Accept-Language-Header

Zusammenfassung

Daptin, ein Open-Source-Headless-CMS mit GraphQL- und JSON-API, ist von einer Schwachstelle in der Verarbeitung des Accept-Language-Headers betroffen. Die Längenprüfung aus CVE-2022-32149 zählt Bindestriche, aber keine Unterstriche, sodass ein manipulierter Header mit vielen durch Unterstriche getrennten Subtags eine quadratische Parsing-Laufzeit verursacht. Ein nicht authentifizierter Angreifer kann solche Anfragen an die öffentliche Startseite oder /api senden und die CPU-Auslastung des Servers erhöhen, was den Dienst unter Umständen nicht mehr verfügbar macht. Auswirkungen auf Vertraulichkeit oder Integrität sind nicht dokumentiert.

Betroffen

• Daptin-Versionen unter 0.12.26 (CNA-Eintrag: < 0.12.26)
• Das GitHub-Advisory nennt <= 0.12.15; ob 0.12.16 bis 0.12.25 betroffen sind, ist nicht bestätigt, daher sind alle Versionen unter 0.12.26 als verwundbar zu behandeln

Behoben in

• Version 0.12.26 (laut CNA-Eintrag)
• Fix-Commit 2d70950979b51eb6c8b4234dd50558b608ad2ffe mit dem Titel "Harden Accept-Language parsing"

Umgehung

• Unbekannt. Ein Workaround des Herstellers ist nicht dokumentiert.
• Falls das Patchen verzögert wird, einen Reverse-Proxy vor Daptin betreiben, der die Grösse von Request-Headern begrenzt (allgemeine Massnahme, keine Herstellerempfehlung).

Ausnutzung

• Öffentlicher Proof of Concept: ja, ein einzeiliger Reproducer ist im GitHub-Advisory enthalten (hier nicht verifiziert).
• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja.
• Ausnutzung in freier Wildbahn: kein Nachweis gefunden; nicht im CISA KEV.

Unsere Empfehlung

• Prüfen, ob Daptin im Einsatz ist und aus dem Internet erreichbar ist.
• Zeitnah auf Version 0.12.26 oder neuer aktualisieren.
• Bis zur Aktualisierung die Grösse von Request-Headern am Reverse-Proxy begrenzen und auf ungewöhnliche CPU-Last überwachen.
• Die installierte Version nach dem Update überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-rhj7-vh3v-mcq6 github.com
• Fix commit 2d70950979b51eb6c8b4234dd50558b608ad2ffe github.com
• OSV GHSA-rhj7-vh3v-mcq6 osv.dev
• GitLab Advisory Database CVE-2026-62160 advisories.gitlab.com
• VulDB 428696 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:21.