Runtipi: Authentifiziertes beliebiges Dateischreiben durch Symlink-Planting bei der Backup-Wiederherstellung
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:HNiedrig · nächste 30 Tage
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Runtipi ist ein persönlicher Homeserver-Orchestrator. In 4.10.0 und früheren Versionen akzeptiert Runtipi symbolische Links aus einem angreiferkontrollierten Backup-Archiv und kopiert sie während des Backup-Wiederherstellungsablaufs in aktive Anwendungspfade. Ein authentifizierter Angreifer kann user-config/app.env als symbolischen Link auf einen beliebigen erreichbaren Pfad platzieren und dann PUT /api/user-config/demoapp3:_user mit angreiferkontrolliertem appEnv-Inhalt senden. FilesystemService.writeTextFile() folgt dem platzierten Link, wodurch Inhalte außerhalb der vorgesehenen Wiederherstellungs- und user-config-Verzeichnisgrenze mit den Berechtigungen des Runtipi-Prozesses geschrieben werden können. Dieses Problem ist in Version 4.10.1 behoben.
Proof-of-Concept-Exploit für CVE-2026-55168, der authentifiziertes beliebiges Dateischreiben durch Symlink-Pflanzung während der Backup-Wiederherstellung in Runtipi demonstriert.
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.