🟠 CVE-2026-16772: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-16772 betrifft Akaunting in Versionen bis einschließlich 3.1.21 und ermöglicht authentifizierten Benutzern mit geringen Privilegien, sich selbst Administratorrechte zuzuweisen. Die Vulnerability basiert auf einer fehlerhaften Autorisierungsprüfung im UpdateUser Job und wird mit einem CVSS-Score von 8.1 als High-Severity klassifiziert.

Betroffene Systeme

• Akaunting Version 3.1.21 und älter
• Alle Installationen mit aktivierter Benutzerselbständerung
• Web-basierte Schnittstellen (API-Endpoints sind nicht betroffen)

Technische Details

Die Vulnerabilität liegt in der unzureichenden Validierung der Rollenzuweisung innerhalb des UpdateUser Jobs. Der kritische Code führt einen roles()->sync()-Aufruf ohne vorherige Autorisierungsprüfung aus. Dies ermöglicht es, dass Benutzer mit der standardmäßigen Permission update-auth-profile ihre eigene Konfiguration modifizieren und sich selbst die Admin-Rolle (Administrator-ID) zuweisen können.

Angriffsvektor: Network | Authentifizierung erforderlich: Ja | Benutzerinteraktion: Nein

Hinweis: API-Endpoints sind ordnungsgemäß gegen diese Schwachstelle geschützt, da diese über separate Autorisierungsmechanismen verfügen.

Empfohlene Massnahmen

• Sofortmaßnahme: Akaunting auf eine gepatchte Version aktualisieren (sobald verfügbar)
• Temporärer Workaround: Restriktive Kontrolle der update-auth-profile Permission implementieren
• Monitoring: Audit-Logs auf verdächtige Rollenzuweisungen überwachen
• Zugriffskontrolle: Benutzerkonten mit geringen Privilegien identifizieren und überwachen

Bewertung

CVSS v3.1 Score: 8.1 (High)

Die Kritikalität ergibt sich aus der leichten Ausnutzbarkeit durch authentifizierte Standardbenutzer und dem resultierenden Privilege-Escalation zu vollständigen Administratorrechten. Ein Patch ist derzeit nicht verfügbar.

„`