🟠 CVE-2026-7201: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-7201 betrifft Progress Sitefinity in den Versionen 15.2.x, 15.3.x und 15.4.x. Es handelt sich um eine Authorization-Bypass-Schwachstelle (CWE-639), die es authentifizierten Angreifern ermöglicht, Kontoeigenschaften anderer Benutzer zu modifizieren. Der CVSS-Score von 8.8 bewertet die Lücke als hochkritisch.

Betroffene Systeme

Folgende Versionen sind betroffen:

• Progress Sitefinity 15.2.x vor Version 15.2.8441
• Progress Sitefinity 15.3.x vor Version 15.3.8531
• Progress Sitefinity 15.4.x vor Version 15.4.8630

Betroffene Organisationen sollten ihre Installationen auf die genannten Patch-Versionen prüfen.

Technische Details

Die Verwundbarkeit liegt in der Web-Service-Implementierung von Sitefinity. Ein benutzerkontrollierter Schlüssel ermöglicht die Umgehung von Autorisierungsprüfungen. Dies ermöglicht authentifizierten Angreifern mit niedrigen Berechtigungen, Kontoparameter wie E-Mail-Adresse, Passwort oder Rollenattribute zu verändern.

Die Ausnutzung erfordert Kenntnisse von normalerweise nicht exponierten Werten, z.B. Benutzer-IDs oder interne Identifikatoren. Ein erfolgreicher Angriff kann zu vollständiger Account-Übernahme führen.

Empfohlene Massnahmen

• Sofortige Patches: Update auf Version 15.2.8441, 15.3.8531 oder 15.4.8630
• Monitoring: Überwachen Sie Web-Service-Anfragen auf anomale Parameteränderungen
• Zugriffskontrolle: Beschränken Sie API-Zugriffe auf vertrauenswürdige Netzwerke
• Audit-Logs: Analysieren Sie Änderungen an Benutzerkonten der letzten Wochen

Bewertung

Mit einem CVSS-Score von 8.8 stellt diese Lücke eine erhebliche Bedrohung dar. Die Notwendigkeit von Authentifizierung reduziert das Risiko, jedoch können kompromittierte Konten mit niedrigen Berechtigungen als Sprungbrett missbraucht werden. Ein Patch ist nicht optional, sondern dringend erforderlich.

„`