praktor: Path Traversal im Telegram-Upload ermöglicht persistente Anweisungsinjektion
Zusammenfassung
praktor, ein Multi-Agenten-Orchestrator für Claude Code mit Telegram als Eingabekanal, bereinigt den Dateinamen hochgeladener Telegram-Dokumente nicht. Ein entfernter Telegram-Benutzer, der dem Bot schreiben kann, kann mit Verzeichnissequenzen im Dateinamen Dateien ausserhalb des Upload-Verzeichnisses in den persistenten Agenten-Workspace schreiben. So lassen sich Dateien wie CLAUDE.md anlegen oder überschreiben, die der Agent in späteren Läufen liest; ein Upload wirkt dadurch als gespeicherte Anweisungsinjektion. In der Standardkonfiguration mit leerer allow_from-Liste sind alle Absender zugelassen, daher ist in diesem Setup keine Authentifizierung nötig.
Betroffen
- praktor-Versionen vor 0.9.1 (CNA: betroffen < 0.9.1; VulDB nennt bis 0.9.0)
Behoben in
- Behoben in praktor 0.9.1 (Commit c3731eeda01c0b3ec1dbd13cccd5a147c3182141)
- Neuere Releases sind verfügbar; die neueste Version einsetzen
Umgehung
- Kein Workaround des Herstellers dokumentiert. Ein Update ist die einzige dokumentierte Massnahme.
- Statt einer leeren allow_from-Liste eine explizite Telegram-Benutzerliste konfigurieren.
- Bis zum Patch den Bot stoppen oder einschränken, falls er Dokumente von unbekannten Benutzern annimmt.
Ausnutzung
- Gemäss OffSeq nicht als aktiv ausgenutzt bekannt.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; nicht direkt am CISA-Katalog geprüft.
- In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden; fehlende Treffer sind kein Beweis.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- praktor auf 0.9.1 oder neuer aktualisieren, möglichst auf die neueste Version, überall wo es läuft.
- Bis zur Aktualisierung den Telegram-Bot auf eine bekannte Benutzerliste beschränken.
- CLAUDE.md-, Skill-, Hook- und Konfigurationsdateien in den Agenten-Workspaces auf unerwartete Änderungen prüfen und bekannte gute Kopien wiederherstellen.
- Workspace-Dateien auf unerwartete Schreibvorgänge überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit c3731ee github.com
- Pull request #228 github.com
- Release v0.9.1 github.com
- GitHub Security Advisory GHSA-48v2-6jcm-fc99 github.com
- VulDB entry vuldb.com
- OffSeq threat radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.