Coop: Fehlende Authentifizierung ermöglicht Zugriff auf Organisationsdaten
Zusammenfassung
Coop, ein Open-Source-Tool für Prüfung und Moderation, stellt die GraphQL-Abfrage Query.allOrgs unter /api/v1/graphql ohne Authentifizierung auf öffentlich erreichbaren Installationen bereit. Ein nicht authentifizierter Angreifer kann Organisations-IDs, Namen, E-Mail-Adressen, Website-URLs und E-Mail-Adressen für On-Call-Alarme abrufen; das Feld usersWhoCanReviewEveryQueue gibt zusätzlich E-Mail-Adressen, Namen, Rollen, Berechtigungen und Erstellungsdaten der Prüfer preis. Wird der Dienst in einem authentifizierten privaten Netzwerk betrieben, ist der direkte Zugriff von aussen auf die GraphQL-API verhindert.
Betroffen
- roostorg Coop Versionen vor 1.0.0
Behoben in
- Behoben in 1.0.0
- Ein verwandtes Coop-Advisory (CVE-2026-63398) nennt Korrekturen in 1.0.2; die neueste Version sollte verwendet werden
Umgehung
- Dem Hersteller ist kein Workaround bekannt. Bis zum Update den Netzwerkzugriff auf die Instanz einschränken und sie hinter ein VPN oder eine Authentifizierung stellen. Dies ist eine kompensierende Massnahme, keine Behebung.
Ausnutzung
- Nicht bekanntermassen ausgenutzt.
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog bekannt.
Unsere Empfehlung
- Alle Coop-Instanzen erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
- Sofort auf die neueste Version (mindestens 1.0.2) aktualisieren oder die Instanz hinter ein VPN oder eine Authentifizierung stellen.
- Logs auf ungewöhnliche GraphQL-Zugriffe auf allOrgs und usersWhoCanReviewEveryQueue prüfen.
- Falls Daten offengelegt wurden, die Meldepflichten nach geltendem Datenschutzrecht prüfen.
- Prüfer-Konten und Alarm-Adressen überprüfen und Zugangsdaten bei Bedarf zurücksetzen, um das Phishing-Risiko zu senken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-gv85-m34f-27g4 github.com
- Coop release 1.0.0 github.com
- Fix commit b29242f github.com
- Pull request #699 github.com
- VulDB entry 429452 vuldb.com
- Strix CVE-2026-63396 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.