🔴 CVE-2026-50561: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-50561 ist eine kritische Authentifizierungsschwachstelle in Yuxi, einer Plattform für intelligente Wissensdatenbanken und Knowledge-Graph-Agent-Entwicklung. Versionen vor 0.6.2 validieren JWT-Token in der Authorization-Header unzureichend. Dies ermöglicht es Angreifern, Administrator-Token aus anderen Deployment-Instanzen zu missbrauchen und sich ohne reguläre Authentifizierung Administratorzugriff zu verschaffen. Der CVSS-Wert von 9.4 unterstreicht die kritische Natur dieser Schwachstelle.

Betroffene Systeme

Produkt: Yuxi (Large-Model-Based Intelligent Knowledge Base and Knowledge Graph Agent Development Platform)

Betroffene Versionen: Alle Versionen vor 0.6.2

Angriffsvektor: Netzwerk (CVSS:3.1/AV:N)

Authentifizierung erforderlich: Nein

Technische Details

Die Schwachstelle liegt in der JWT-Token-Validierung. Das System führt lediglich eine Gültigkeitsprüfung durch, ohne die Token-Herkunft oder die Deployment-Instanz zu verifizieren. Dadurch können Administrator-Token, die in Test-Umgebungen oder anderen Produktionsinstanzen generiert wurden, zur Authentifizierung gegenüber anderen betroffenen Systemen missbraucht werden.

Ein erfolgreicher Exploit ermöglicht Angreifern:

• Umgehung der normalen Login-Authentifizierung
• Erlangung von Administratorrechten
• Zugriff auf Systemkonfigurationen
• Invoke von Backend-Management-APIs
• Erstellung neuer Administrator-Konten
• Übernahme des System-Backends

Empfohlene Massnahmen

Priorität 1 – Upgrade: Aktualisieren Sie sofort auf Version 0.6.2 oder höher.

Priorität 2 – Interim-Massnahmen (vor Upgrade):

• Setzen Sie die Umgebungsvariable JWT_SECRET_KEY auf einen nicht-standardisierten Wert
• Verwenden Sie für jede Deployment-Instanz einen eindeutigen, kryptographisch starken JWT-Secret
• Isolieren Sie Backend-Management-Interfaces vom öffentlichen Netzwerk
• Implementieren Sie zusätzliche Netzwerk-Segmentierung und Zugriffskontrolle
• Überwachen Sie Zugriffslogs auf verdächtige Token-Aktivitäten

Bewertung

CVSS-Score: 9.4 (Kritisch)
Verfügbarkeit von Patches: Ja (Version 0.6.2)
Exploitierbarkeit: Hoch
Handlungsbedarf: Sofort

„`