Apache Allura: REST-API-Schwachstelle durch Mass Assignment
Zusammenfassung
Apache Allura bis einschliesslich Version 1.21.0 enthält eine Mass-Assignment-Schwachstelle in der REST-API (CWE-915). Ein Angreifer, der gezielt präparierte REST-API-Anfragen senden kann, könnte Objektattribute verändern, die er nicht verändern dürfte. Die benötigten Berechtigungen hängen vom betroffenen Endpunkt ab. Der CVSS-Wert 9.1 in den Ausgangsdaten ist vom Hersteller und von der NVD nicht bestätigt, andere Quellen bewerten das Problem mit 5.8 bis 6.3 (Apache: moderate).
Betroffen
- Apache Allura bis einschliesslich 1.21.0
Behoben in
- Apache Allura 1.22.0 oder neuer
Umgehung
- Keine veröffentlicht. Das Upgrade auf 1.22.0 ist die Massnahme.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Laut Aggregator-Seiten nicht im CISA-KEV-Katalog aufgeführt; nicht direkt am Katalog geprüft.
- Kein öffentlicher Proof-of-Concept-Exploit gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Alle selbst betriebenen Allura-Instanzen identifizieren und deren Version mit 1.21.0 vergleichen.
- Auf Apache Allura 1.22.0 oder neuer aktualisieren. Dieselbe Version behebt auch CVE-2026-92116 und CVE-2026-92120.
- Zugriffslogs auf ungewöhnliche REST-API-Schreibanfragen prüfen, insbesondere auf Benutzer- oder Kontofelder.
- NVD und CISA KEV in einigen Tagen erneut prüfen, da der NVD-Status bei der Recherche noch Deferred war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Allura mailing list thread (vendor advisory) lists.apache.org
- oss-security post CVE-2026-92119 www.openwall.com
- Apache Allura 1.22.0 release post allura.apache.org
- VulDB entry CVE-2026-92119 vuldb.com
- OpenCVE CVE-2026-92119 app.opencve.io
- The Hacker Wire CVE-2026-92119 www.thehackerwire.com
- Strix CVE-2026-92119 www.strix.ai
- Allura commit notice (mail archive) www.mail-archive.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.