Ein authentifizierter Angreifer mit Lesezugriff (über einen API-Schlüssel) auf ein Content-Modell kann über den REST-Endpunkt /api/content/aggregate/{model} beliebige SQL-Befehle in die Aggregations-Pipeline injizieren.

Dieser Fehler ermöglicht Angreifern:

• Den vorgesehenen Filter für veröffentlichte Inhalte (_state=1) zu umgehen, um unveröffentlichte Entwürfe zu lesen.
• Vollständige Dokumentinhalte aus beliebigen Sammlungen in derselben SQLite-Datenbank zu extrahieren.
• Das interne Datenbankschema über sqlite_master aufzulisten.

2. Schritt-für-Schritt-Reproduktion des Exploits

Die folgenden Schritte zeigen, wie ein Angreifer den Autorisierungsfilter _state=1 umgehen kann.

Voraussetzungen

• Cockpit CMS 2.13.4 oder niedriger
• Ein API-Schlüssel mit mindestens Lesezugriff auf ein Content-Sammlungsmodell.

2.1: Content-Modell konfigurieren

1. Melden Sie sich als Administrator im Cockpit-CMS-Admin-Dashboard an.
2. Navigieren Sie zu Inhalt > Modelle und erstellen Sie ein neues Modell mit dem Namen testcol.
3. Fügen Sie dem Modell zwei Textfelder hinzu: title und body.

Screenshot: Einrichtung des testcol-Content-Modells

2.2: API-Rolle und -Schlüssel konfigurieren

1. Navigieren Sie zu Einstellungen > Rollen.
2. Erstellen oder ändern Sie eine Rolle (z. B. MasterRole), sodass sie LESE-Berechtigung für das Modell testcol hat.

Screenshot: Konfiguration der Rollenberechtigungen für die Sammlung

3. Navigieren Sie zu Einstellungen > API & Sicherheit (API-Schlüssel).
4. Fügen Sie einen neuen API-Schlüssel hinzu und weisen Sie ihm die soeben konfigurierte MasterRole zu. Kopieren Sie den Schlüsselwert (z. B. API-b8e8...).

Screenshot: Einrichtung des API-Schlüssels mit der Rolle für Lesezugriff

2.3: Beispielinhalte erstellen (einschließlich eines geheimen Entwurfs)

1. Gehen Sie zu Inhalt > testcol.
2. Erstellen Sie ein Element mit dem Titel Public und setzen Sie dessen Status auf VERÖFFENTLICHT (grünes Symbol).
3. Erstellen Sie ein zweites Element mit dem Titel SECRET_DRAFT und setzen Sie dessen Status auf NICHT VERÖFFENTLICHT (rotes Symbol).

Screenshot: Die Elementliste mit einem veröffentlichten und einem unveröffentlichten Element

2.4: Den Exploit ausführen

Standardmäßig geben normale API-Abfragen nur Inhalte zurück, deren Status „Veröffentlicht" ist. Durch das Injizieren von SQL in die Aggregations-Pipeline kann der Filter für veröffentlichte Inhalte jedoch umgangen werden.

1. Erstellen Sie die folgende Nutzlast. Die Nutzlast bricht aus der SQL-Funktion json_extract() aus und fügt einen SQL-Kommentar -- hinzu, um das nachfolgende SQL zu neutralisieren, wobei gezielt die WHERE-Klausel angegriffen wird, die die Ergebnisse auf veröffentlichte Elemente beschränkt.

Injiziertes Feld:

Vollständige Pipeline-JSON:

2. URL-kodieren Sie die Pipeline-JSON und senden Sie eine GET-Anfrage über den Browser (oder curl) an den Endpunkt /api/content/aggregate/testcol. Ersetzen Sie YOUR_API_KEY durch den in Schritt 2.2 generierten Schlüssel:

2.5: Exploit-Verifizierung

Wie im letzten Screenshot unten gezeigt, gibt die API-Antwort erfolgreich das Element SECRET_DRAFT zurück, obwohl es ausdrücklich als NICHT VERÖFFENTLICHT markiert ist. Dies bestätigt, dass die SQL-Injection den zentralen Autorisierungsmechanismus der Anwendung umgeht und einen unbefugten Datenabruf über die API ermöglicht.

Screenshot: Erfolgreiche Extraktion der unveröffentlichten 'SECRET_DRAFT'-Daten

3. Auswirkung -- Konsequenz

In einer klassischen Headless-CMS-Bereitstellung wird ein öffentlicher, schreibgeschützter API-Schlüssel häufig im Frontend-JavaScript eingebettet/hartcodiert. Durch die Ausnutzung dieser Schwachstelle über den öffentlichen API-Endpunkt kann ein Angreifer:

• Den Filter für veröffentlichte Inhalte umgehen, um unveröffentlichte Entwürfe, archivierte Elemente und versteckte Inhalte zu lesen.
• Alle Inhaltsammlungen in derselben content.sqlite-Datenbank lesen, einschließlich Sammlungen, für die der API-Schlüssel nicht autorisiert ist.
• Das Datenbankschema über sqlite_master aufzählen, um alle Tabellennamen und -strukturen zu entdecken.

4. Offenlegungszeitplan

Anhang:

• https://github.com/Cockpit-HQ/Cockpit/security/advisories/GHSA-7x5c-vfhj-9628
• https://www.cve.org/CVERecord?id=CVE-2026-31891