FearlessCMS: Nicht authentifizierte Debug-Skripte erlauben Dateizugriff, Schreibzugriff und XSS

Zusammenfassung

Fünf Debug- und Test-PHP-Skripte im Verzeichnis admin/ von FearlessCMS führen Dateioperationen ohne Authentifizierung, CSRF-Schutz oder Pfadvalidierung aus. Auf dem integrierten Entwicklungsserver von PHP, einschliesslich des Standard-Docker-Setups, kann ein nicht authentifizierter Angreifer den Admin-Login mit dem URI-Präfix /./admin/ umgehen. Angreifer können Verzeichnislisten und .md-Dateien lesen, .md-Dateien schreiben oder per Pfad-Traversierung ausserhalb ablegen sowie gespeichertes und reflektiertes JavaScript einschleusen, wodurch Administrator-Sitzungen gestohlen werden können. Die Skripte laufen mit den Rechten von PHP, die im getesteten Deployment root waren.

Betroffen

• FearlessCMS-Versionen vor 0.1.4 (Angabe des CNA; das GitHub-Advisory nennt bis 0.1.2b)
• Besonders relevant auf dem integrierten Entwicklungsserver von PHP und im Standard-Docker-Deployment

Behoben in

• Version 0.1.4 (Commit 59fb22cf989b5ba14c387c3212e15b146e02cf9a)
• Ob ein Backport auf 0.1.3.x existiert: Unbekannt.

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme.
• Zugriff auf den Pfad admin/ bis zum Upgrade auf einem Reverse Proxy oder einer Firewall einschränken.
• Die Website nicht auf dem integrierten Entwicklungsserver von PHP oder im Standard-Docker-Setup betreiben.

Ausnutzung

• CISA SSVC: Exploitation-Status poc, automatisierbar ja, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn; nicht im CISA KEV.
• Status eines öffentlichen PoC widersprüchlich und nicht verifiziert.

Unsere Empfehlung

• Bei Erreichbarkeit der Instanz aus dem Internet sofort auf FearlessCMS 0.1.4 aktualisieren.
• Bis zum Upgrade die Instanz offline nehmen oder den Zugriff auf Admin-Pfade auf vertrauenswürdige Netze beschränken.
• PHP als nicht privilegierter Benutzer betreiben.
• Prüfen, ob admin/debug_content.php, admin/debug_save_flow.php, admin/preview-handler.php, admin/testdebug.php und admin/test_redirect.php vorhanden sind, und diese entfernen.
• Webserver-Logs auf Anfragen mit /./admin prüfen; content/ und admin/testdebug.log auf unerwartete Dateien oder Wachstum kontrollieren.
• Das Upstream-Repository ist archiviert; eine Migration planen, falls kein gepflegter Fork erscheint.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-63190 Strix record www.strix.ai
• GitHub Security Advisory GHSA-3mq8-hrhf-7hv6 github.com
• Fixing commit 59fb22c github.com
• FearlessCMS tag 0.1.4 github.com
• VulDB entry 428198 vuldb.com
• OffSeq threat radar entry radar.offseq.com
• TheHackerWire CVE-2026-63190 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:41.