„`html
Zusammenfassung
CVE-2026-59708 ist eine kritische Authentifizierungslücke in ghostfolio, die es Angreifern ermöglicht, auf sensitive Portfolio-Daten zuzugreifen. Der Endpoint GET /api/v1/public/:accessId/portfolio validiert die granteeUserId-Filterung nicht korrekt, wodurch unauthentifizierte Zugriffe auf private Portfolios möglich werden. Mit einer gültigen Private Access ID können Angreifer vollständige Finanzinformationen auslesen, ohne sich authentifizieren zu müssen.
Betroffene Systeme
Die Anfälligkeit betrifft verschiedene Versionen der ghostfolio-Anwendung. Der genaue Versionsbereich ist derzeit nicht dokumentiert. Alle Installationen mit aktiviertem Public Portfolio Sharing sollten als potentiell gefährdet betrachtet werden.
Technische Details
Die Schwachstelle liegt in der API-Implementierung des Portfolio-Sharing-Features. Der Endpoint akzeptiert Private Access IDs und gibt zugehörige Portfolio-Daten zurück, ohne die Identität des anfragenden Benutzers zu prüfen. Dies führt zu einer unzureichenden Zugriffskontrolle (Broken Access Control).
Angreifer können folgende sensitive Daten auslesen:
- Aktuelle Bestände und Positionen
- Kaufpreise und Einstiegskurse
- Gewinn-/Verlustberechnungen
- Performance-Metriken
- Transaktionshistorie
Der Angriffsvektor ist netzwerkbasiert und erfordert lediglich Kenntnis einer gültigen Private Access ID, die möglicherweise durch Social Engineering oder andere Mittel erlangt werden kann.
Empfohlene Massnahmen
Sofortmassnahmen: Deaktivieren Sie temporär das Public Portfolio Sharing Feature, bis ein Patch verfügbar ist. Überprüfen Sie Access Logs auf verdächtige Zugriffe.
Mittelfristig: Implementieren Sie strikte AuthentifizierungsprĂĽfungen fĂĽr alle API-Endpoints. Validieren Sie bei Private Access IDs die granteeUserId korrekt und authentifizieren Sie die anfragende Session.
Bewertung
Mit einem CVSS-Score von 7.5 (High) handelt es sich um eine kritische SicherheitslĂĽcke. Die fehlende Authentifizierung kombiniert mit dem Zugriff auf sensitive Finanzdaten stellt ein erhebliches Risiko dar. Da bisher kein offizieller Patch zur VerfĂĽgung steht, sollten Administratoren sofortig handeln und die genannten Schutzmassnahmen umsetzen.
„`