Offenlegung von Sicherheitslücken — CVE-2026-78829 / 78830 / 78831 / 78832

Öffentliche technische Offenlegungen und Proof-of-Concept-Reproduktionsschritte für vier Schwachstellen, denen vom MITRE CVE Program CVE-IDs zugewiesen wurden (CVE-Anfrage protokolliert am 2026-06-20).

Offengelegte Schwachstellen

CVE-ID	Produkt	Schwachstelle	CWE	CVSS 3.1	Authentifizierung erforderlich
CVE-2026-78829	Dromara MaxKey 4.x	Reflektiertes XSS über `redirect_uri` im OAuth-Flow → Diebstahl von Admin-Session/JWT	CWE-79	8.2 Hoch	Nein (präparierter Link)
CVE-2026-78830	mingSoft MCMS 6.1.1	Gespeichertes XSS über nicht authentifizierten `/file/upload`	CWE-79	6.1 Mittel	Nein
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	Nicht authentifizierte willkürliche Änderung von Benutzerpasswörtern über `/api/dynamic/Invoke`	CWE-306	9.1 Kritisch	Nein
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	Nicht authentifizierte Offenlegung sensibler Informationen über `/api/dynamic/GetList`	CWE-200	8.6 Hoch	Nein

Jeder Ordner enthält:

README.md — vollständige Advisory: offizielle CVE-Beschreibung, Ursachenanalyse, schrittweise Reproduktion (HTTP-Request/Response-Paare und curl-Einzeiler), Auswirkungen, Behebung, Referenzen und Zeitplan.
CVE-2026-XXXXX.json — der Schwachstellendatensatz im CVE JSON 5-Format, entsprechend der Struktur des offiziellen cvelistV5-Repositories, vom Melder als Referenz vorbereitet.

Hinweis zur Angriffskette (OpenAuth.Net)

CVE-2026-78831 und CVE-2026-78832 haben dieselbe Ursache — die Dynamic API (/api/dynamic/*) führt keine Authentifizierung/Autorisierung durch — und können zu einer vollständigen nicht authentifizierten Übernahmekette kombiniert werden:

GetList (CVE-2026-78832) gibt SysUser aus → alle Klartext-Anmeldedaten;
Invoke (CVE-2026-78831) ändert das Administratorkennwort (oder man meldet sich einfach mit dem ausgegebenen Kennwort an);
Der uneingeschränkte, nicht authentifizierte Endpunkt /api/Files/Upload (separat gemeldet, noch keine CVE-ID zugewiesen) ermöglicht beliebigen Datei-Upload mit WebShell/RCE-Potenzial.

Weitere Erkenntnisse (keine CVE-ID zugewiesen)

Während derselben Untersuchung wurden zwei weitere nicht authentifizierte Probleme in OpenAuth.Net identifiziert, die in der aktuellen Zuweisung jedoch keine CVE-IDs erhielten:

Nicht authentifizierte Datenlöschung über /api/dynamic/Delete (CWE-285, einschließlich Löschung von Audit-Logs zur Anti-Forensik) — Mittel;
Nicht authentifizierter uneingeschränkter Datei-Upload über /api/Files/Upload (CWE-434, RCE-Potenzial) — Kritisch.

Diese sind im lokalen Forschungsbericht dokumentiert und können separat beim CVE Program eingereicht werden.

Verantwortungsvolle Offenlegung

Alle Reproduktionen wurden in kontrollierten Laborumgebungen gegen private Testinstanzen oder autorisierte Ziele durchgeführt. Sensible Werte in erfassten Antworten (Kennwörter, Tokens, Secrets) sind in diesen Berichten redigiert. Diese Offenlegungen werden ausschließlich zu defensiven Zwecken veröffentlicht — um Nutzern der betroffenen Produkte zu helfen, das Risiko zu bewerten und zu mindern.

Zeitplan

Datum	Ereignis
2026-06-20	CVE-Anfrage beim MITRE CVE Program protokolliert
2026-06-24	Laborverifikation von OpenAuth.Net abgeschlossen
2026-06	CVE-2026-78829 ~ CVE-2026-78832 von MITRE zugewiesen
2026-10-30	Öffentliche technische Offenlegung auf GitHub

Entdeckt und gemeldet von CloudFutureSec (@CloudFutureSec).

cve-disclosures

Beliebteste