🔴 CVE-2026-40750: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-40750 beschreibt eine kritische Sicherheitslücke in der Kids Online Store-Software von themagnifico52. Die Vulnerability ermöglicht es unauthentifizierten oder authentifizierten Angreifern, Dateien mit gefährlichen Dateitypen hochzuladen und dadurch Web Shells auf dem betroffenen Server auszuführen. Dies führt zu vollständiger Kontrolle über die betroffene Webanwendung.

Betroffene Systeme

Folgende Systeme sind betroffen:

• Software: Kids Online Store (themagnifico52)
• Versionen: 0.8.9 und frühere Versionen
• Angriffsvektor: Netzwerk (keine lokale Interaktion erforderlich)

Die Vulnerability betrifft verschiedene Installationen weltweit, insbesondere E-Commerce-Systeme für Kinderprodukte.

Technische Details

Die Schwachstelle liegt in der unzureichenden Validierung von hochgeladenen Dateien. Das System überprüft nicht ausreichend:

• Den MIME-Type der hochgeladenen Datei
• Die tatsächliche Dateierweiterung
• Die Speicherlokation (z.B. außerhalb des Web-Root)
• Die Ausführungsrechte der gespeicherten Datei

Ein Angreifer kann PHP-, JSP-, ASPX- oder andere ausführbare Dateien hochladen und diese direkt vom Server ausführen. Dies ermöglicht Remote Code Execution (RCE) und Übernahme des kompletten Systems.

Empfohlene Massnahmen

• Sofortige Massnahme: Deaktivieren Sie die Upload-Funktionalität bis zur Verfügbarkeit eines Patches
• Validierung: Implementieren Sie strikte Whitelist-basierte Dateiprüfung
• Speicherung: Lagern Sie hochgeladene Dateien außerhalb des Web-Root aus
• Berechtigungen: Entfernen Sie Ausführungsrechte für Upload-Verzeichnisse
• Monitoring: Überwachen Sie Upload-Verzeichnisse auf verdächtige Dateien
• Update: Aktualisieren Sie auf die nächste verfügbare sichere Version

Bewertung

CVSS-Score: 9.9 (Critical)

Diese Einstufung ist gerechtfertigt, da die Vulnerability:

• Fernzugriff (CVSS:AV:N) ohne Authentifizierung ermöglicht
• Zu vollständiger Code-Execution führt (CIA: High)
• Keine manuellen Schritte durch den Benutzer erfordert

Betroffene Systeme sollten als kritisch eingestuft und unverzüglich gesichert werden.

„`