AstroBlocks CMS: Authentifizierungsumgehung durch fest codierten JWT-Fallback-Schlüssel

Zusammenfassung

AstroBlocks, ein blockorientiertes CMS für Astro-Projekte, signiert Admin-Sitzungstoken mit einem fest codierten Fallback-JWT-Schlüssel, wenn die Umgebungsvariable nicht gesetzt oder nicht korrekt gelesen wird. Dieser Fallback-Wert ist im veröffentlichten Paket öffentlich einsehbar. Ein nicht authentifizierter Angreifer kann ein Sitzungstoken mit der Rolle owner fälschen und erhält damit volle administrative Kontrolle über Inhalte, Benutzer, Medien, Weiterleitungen und Konfiguration. Die CNA bewertet diese Schwachstelle mit 9.8 (kritisch).

Betroffen

• AstroBlocks (NauelG astro-blocks, npm @astroblocks/astro-blocks) Versionen vor 3.4.0

Behoben in

• Aktualisierung auf Version 3.4.0 oder höher

Umgehung

• Unbekannt. Kein vom Hersteller dokumentierter Workaround gefunden.
• Übergangsmassnahme (keine Herstellerempfehlung): Zugriff auf /cms am Reverse Proxy oder an der Firewall einschränken, etwa per VPN oder IP-Allowlist, bis die Aktualisierung abgeschlossen ist.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA KEV aufgeführt.
• Zum Zeitpunkt der Veröffentlichung ist kein öffentlicher Exploit bekannt. Der Fallback-Schlüssel ist im veröffentlichten Paket enthalten, daher ist ein Exploit voraussichtlich leicht zu erstellen.
• Angriffsvektor ist das Netzwerk; es sind keine Berechtigungen und keine Benutzerinteraktion erforderlich.

Unsere Empfehlung

• AstroBlocks sofort auf Version 3.4.0 oder höher aktualisieren, falls /cms aus dem Internet erreichbar ist.
• In der Produktion ASTRO_BLOCKS_JWT_SECRET mit einem langen Zufallswert (mindestens 32 Zeichen) setzen; ohne diesen Wert liefert die Anmeldung 503.
• Zugriff auf /cms bis zur Aktualisierung einschränken.
• Nach der Aktualisierung bestehende Sitzungen ungültig machen und Benutzerkonten sowie Inhalte auf unerwartete owner-Konten oder Änderungen prüfen.
• War eine betroffene Version aus dem Internet erreichbar, die Instanz als möglicherweise kompromittiert behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mfcg-m7j5-7v72 github.com
• Fix commit fd83bf0 github.com
• Pull Request #51 github.com
• Release v3.4.0 github.com
• VulDB entry 435604 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:20.