🟠 CVE-2026-56038: High Schwachstelle

„`html

Zusammenfassung

In Frisbii Pay Version 1.8.2 und älteren wurde eine kritische Schwachstelle identifiziert, die es Benutzern mit Contributor-Rollen ermöglicht, ihre Berechtigungen zu eskalieren. Die Vulnerabilität ermöglicht es, administrative Funktionen auszuführen, die normalerweise Administratoren vorbehalten sind. Mit einem CVSS-Score von 8.8 wird diese Schwachstelle als „High“ klassifiziert.

Betroffene Systeme

• Frisbii Pay Version 1.8.2 und älter
• Alle auf diesen Versionen basierenden Installationen
• Systeme mit aktivierten Contributor-Konten

Technische Details

Die Schwachstelle liegt in der unzureichenden Validierung von Berechtigungsprüfungen in den API-Endpunkten von Frisbii Pay. Contributor-Benutzer können durch manipulierte HTTP-Requests oder direkte API-Aufrufe die Authentifizierung und Autorisierungsmechanismen umgehen. Das fehlende „role-based access control“ (RBAC) ermöglicht die Ausführung privilegierter Operationen ohne entsprechende Berechtigung.

Der Angriffsvektor ist netzwerkbasiert und erfordert keine lokalen Zugriff oder Benutzerinteraktion. Ein authentifizierter Contributor-Account ist für die Ausnutzung erforderlich.

Empfohlene Massnahmen

• Sofort: Accounts mit Contributor-Rollen überprüfen und auf verdächtige Aktivitäten monitoren
• Aktualisierung: Warten auf Patch und zeitnahe Implementierung durchführen
• Netzwerk: API-Zugriffe auf notwendige Benutzer beschränken und Logging aktivieren
• Audit: Historische Logs auf verdächtige API-Aufrufe analysieren

Bewertung

CVSS-Score: 8.8 (High)
Angriffsvektor: Network
Authentifizierung: Erforderlich
Patch-Status: Nicht verfügbar

Diese Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar. Eine vorrangige Behebung ist erforderlich.

„`