„`html
Zusammenfassung
Die CVE-2026-39552 beschreibt eine PHP Remote File Inclusion (RFI) / Local File Inclusion (LFI) Schwachstelle im Blueprint-Framework der Code Supply Co. Die Vulnerability ermöglicht es Angreifern, über unsachgemäße Kontrolle von Dateinamen in PHP Include/Require-Anweisungen beliebige Dateien einzubinden. Dies führt zu potenziellem Code-Execution und Datenlecks. Der CVSS-Score von 8.1 klassifiziert dies als High-Severity-Vulnerability.
Betroffene Systeme
Betroffenes Produkt: Code Supply Co. Blueprint
Versionen: Alle Versionen vor 1.1.5
Angriffsvektor: Network (CVSS:3.1 AV:N)
Patch-Status: Nicht verfügbar zum Zeitpunkt der Veröffentlichung
Technische Details
Die Vulnerability basiert auf fehlender Input-Validierung bei der Behandlung von Dateieinschlüssen. Angreifer können über manipulierte Parameter Pfade kontrollieren, die in PHP-Include/Require-Statements verwendet werden. Dies ermöglicht das Laden lokaler Dateien (LFI) oder unter bestimmten Bedingungen remote Dateien (RFI).
Typische Angriffsszenarien umfassen:
- Zugriff auf Konfigurationsdateien mit Credentials
- Lesen von System-Dateien (/etc/passwd)
- Log-File-Poisoning zur Code-Ausführung
- Inclusion von Remote-Shells bei aktiviertem allow_url_include
Empfohlene Massnahmen
Sofortmassnahmen:
- Update auf Blueprint 1.1.5 oder höher durchführen
- Überprüfung von Web-Access-Logs auf verdächtige Includes
- PHP-Sicherheitseinstellungen: allow_url_include=Off setzen
- Strikte Input-Validierung implementieren
- WAF-Regeln gegen LFI-Pattern (../, /etc/passwd) aktivieren
Bewertung
Mit einem CVSS-Score von 8.1 erfordert diese Vulnerability hohe Priorität. Die Kombination aus Network-Zugänglichkeit und potenziellem Code-Execution stellt erhebliches Risiko dar. Sofortiges Patching wird dringend empfohlen.
„`