Progress Sitefinity Next.js SDK: Server-Side Request Forgery

Zusammenfassung

Das npm-Paket @progress/sitefinity-nextjs-sdk, das vom Sitefinity Next.js Renderer verwendet wird, enthält eine Server-Side Request Forgery (SSRF) Schwachstelle (CWE-918). Ein Angreifer aus dem Netz kann den Server veranlassen, Anfragen an einen von ihm kontrollierten Host zu senden, wodurch sensible Informationen offengelegt werden können. Es werden keine Benutzerrechte benötigt, laut CVSS-Vektor ist jedoch eine Benutzerinteraktion nötig. Seiten auf dem klassischen Sitefinity CMS Frontend sind nicht Teil dieser Advisory.

Betroffen

• npm-Paket @progress/sitefinity-nextjs-sdk, Versionen 15.1.8326 bis 15.4.8637 (betroffener Bereich laut CVE-Eintrag: 15.1.8326 bis vor 15.4.8638)
• Sitefinity Next.js Renderer Installationen mit diesen Versionen

Behoben in

• Unbekannt. Die genaue korrigierte Version konnte aus den Quellen nicht verifiziert werden. Version 15.4.8641 wird auf jsDelivr als aktuelle npm-Version angezeigt, ist aber nicht als Korrektur bestätigt.

Umgehung

• Unbekannt. Der abgerufene Advisory-Text beschreibt keinen Workaround.
• Übergangsmassnahmen (keine Herstellerangabe): ausgehenden HTTP/HTTPS-Verkehr des Next.js Renderer Hosts auf benötigte Ziele beschränken und Zugriffe auf Cloud-Metadaten und interne Adressbereiche blockieren.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. Im geprüften CISA-KEV-Alert nicht aufgeführt (Teilprüfung).
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.

Unsere Empfehlung

• Prüfen, ob ein öffentlich erreichbarer Sitefinity Next.js Renderer die betroffenen SDK-Versionen verwendet.
• Die korrigierte Version aus dem Progress Advisory beziehen und vor dem Update mit npm view verifizieren.
• Das Update zusammen mit den übrigen Next.js-Punkten des Advisory vom September 2026 planen, einschliesslich der Remote-Code-Execution-Schwachstellen.
• Die Einschränkungen für ausgehenden Verkehr anwenden, bis das Update installiert ist.
• Ausgehende Verbindungen vom Renderer Host überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Progress Security Advisory (September 2026) community.progress.com
• npm package @progress/sitefinity-nextjs-sdk www.npmjs.com
• Progress documentation: Develop with Next.js www.progress.com
• TheHackerWire: CVE-2026-92931 www.thehackerwire.com
• Strix: CVE-2026-92931 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:34.