CVE-2026-28767: Fehlende Authentifizierung am Endpunkt für administrative Benachrichtigungen

Advisory

Produkt

Zusammenfassung

Der administrative Endpunkt /api/admin/notifications ist ohne Authentifizierung erreichbar und legt interne Daten des Benachrichtigungssystems sowie administrative Kommunikation für nicht authentifizierte Benutzer offen.

Details zur Schwachstelle

Zugriff ohne Authentifizierung

Der administrative Benachrichtigungs-Endpunkt ist ohne jegliche Authentifizierungs- oder Autorisierungskontrollen öffentlich zugänglich:

GET [REDACTED — Cloud API host]/api/admin/notifications
Authentication: NONE

Offengelegte Daten

Der nicht authentifizierte Endpunkt gewährt Zugriff auf:

• Interne Daten des Benachrichtigungssystems und Nachrichtenvorlagen
• Administrative Kommunikation und Systemmeldungen
• Konfigurationen für Push-Benachrichtigungen und Zustellstatus
• Benachrichtigungseinstellungen und Targeting-Daten von Benutzern

Systemisches Muster

Dieser Endpunkt ist Teil eines umfassenderen Musters fehlender Authentifizierung im Gardyn-Pfad /api/admin/*. Sowohl /api/admin/devices (CVE-2026-32646) als auch /api/admin/notifications weisen keine Authentifizierung auf, was darauf hindeutet, dass der gesamte administrative API-Namespace ohne Zugriffskontrollen bereitgestellt worden sein könnte.

Auswirkungen

• Offenlegung interner administrativer Kommunikation
• Einblick in operative Abläufe und Systemereignisse
• Offenlegung von Benachrichtigungsvorlagen und Targeting-Daten
• Aufklärungswert zur Identifizierung von Systemverhalten, Nutzerinteraktionsmustern und administrativen Arbeitsabläufen
• Potenzial für das Einschleusen oder Verändern von Benachrichtigungen, sofern Schreiboperationen offengelegt sind

Standarddienste für diese Klasse von Endpunkten

Behebung

Gardyn empfiehlt ein Upgrade auf Cloud-API-Version 2.12.2026 oder neuer. Weitere Informationen finden Sie unter https://mygardyn.com/security/.

Empfohlene Korrektur für den Hersteller:

1. Administrative Authentifizierung für alle /api/admin/*-Endpunkte verlangen
2. Rollenbasierte Zugriffskontrolle für administrative Operationen implementieren
3. Alle Endpunkte unter dem Pfad /api/admin/ auf fehlende Authentifizierung prüfen
4. Administrative Endpunkte hinter einem separaten, zugriffsgeschützten Pfad platzieren
5. Zugriffsprotokolle auf unbefugten Zugriff auf administrative Endpunkte prüfen

Zeitleiste

Referenzen

• CVE-2026-28767 -- CVE-Eintrag
• ICSA-26-055-03
• CWE-306: Fehlende Authentifizierung für kritische Funktion

Danksagung

Gemeldet von Michael Groberman — Gr0m an CISA.