WookTeam: Remote Code Execution im Task-Export-Interface

Zusammenfassung

WookTeam bis einschliesslich Version 1.6.6 enthält eine Code-Injection-Schwachstelle (CWE-94) im Endpunkt für den Task-Export eines Projekts, /api/project/task/export. Der base64-dekodierte Parameter data wird an einen eval()-Aufruf übergeben, sodass ein Angreifer beliebigen PHP-Code injizieren und Befehle auf dem Server ausführen kann. Laut der öffentlichen Beschreibung genügt ein registriertes Benutzerkonto, und die öffentliche Registrierung ist standardmässig aktiviert; der CVSS-Vektor geht dagegen davon aus, dass keine Berechtigungen nötig sind. Es wird ein öffentlicher Proof of Concept referenziert, weshalb aus dem Internet erreichbare Instanzen hohe Priorität haben sollten.

Betroffen

• WookTeam 1.6.6 und früher (Branches master und 1.6.x, gemäss der öffentlichen Beschreibung)

Behoben in

Unbekannt.

Umgehung

• Zugriff auf /api/project/task/export am Reverse Proxy oder WAF sperren oder einschränken, bis eine Korrektur verfügbar ist (allgemeine Massnahme, nicht vom Hersteller bestätigt).
• WookTeam-Instanz auf das interne Netz oder VPN beschränken.
• Öffentliche Registrierung deaktivieren, falls sie aktiviert ist.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: total.
• Eine öffentliche Beschreibung mit schrittweiser Reproduktion existiert (fangtang7/CVE).
• In den Recherchenotizen wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden; der KEV-Status ist nicht verifiziert.
• Die Authentifizierungsanforderung ist unklar: CVSS nennt PR:N, die Beschreibung verlangt ein registriertes Konto.

Unsere Empfehlung

• Alle WookTeam-Instanzen inventarisieren, inklusive Docker-Deployments, und prüfen, ob eine davon aus dem Internet erreichbar ist.
• Zugriff auf den Endpunkt einschränken oder betroffene Instanzen ausser Betrieb nehmen, bis eine korrigierte Version bestätigt ist.
• Webserver-Logs auf Anfragen an /api/project/task/export prüfen, insbesondere mit ungewöhnlichen data-Werten.
• Den Server auf unerwartete Dateien oder Prozesse prüfen (zum Beispiel Web Shells).
• Hersteller und Upstream-Projekt auf eine Korrektur überwachen und sobald verfügbar aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record write-up: fangtang7/CVE WookTeam rce.md github.com
• Strix CVE-2026-88393 details www.strix.ai
• astruzocyber CVE issue 1265 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:16.