„`html

CVE-2026-73629: Server-Side Request Forgery in Serendipity

Zusammenfassung

Eine Server-Side Request Forgery (SSRF) Vulnerability wurde in Serendipity vor Version 2.6.0 identifiziert. Die serendipity_url_allowed() Filter-Funktion validiert URLs unzureichend und blockiert nicht die Verwendung von alternativen IPv4- und IPv6-Adressformaten. Authentifizierte Administratoren mit der Berechtigung „adminImagesAdd“ können diese Filterumgehung ausnutzen, um auf interne Netzwerkservices zuzugreifen und Antworten über das öffentliche Upload-Verzeichnis auszulesen.

Betroffene Systeme

• Serendipity CMS vor Version 2.6.0
• Alle Installationen mit aktiviertem Bild-Upload-Feature
• Systeme mit administrativen Benutzern, die über „adminImagesAdd“ Berechtigung verfügen

Technische Details

Angriffsvektor: Network (authentifizierter Zugriff erforderlich)

CVSS Score: 8.5 (High)

Die Vulnerability liegt in der unzureichenden URL-Validierung. Folgende Umgehungstechniken sind möglich:

• Hex-kodierte IPv4-Adressen (z.B. 0xC0A80001 statt 192.168.0.1)
• IPv6 Literale und Bracketing
• Link-Local Adressbereiche (169.254.0.0/16)

Der Angreifer kann durch Manipulation des Bild-Upload-Formulars URL-Parameter mit alternativen Adressformaten einschleusen. Die Filter-Funktion erkennt diese nicht als blockierte interne Adressen und leitet die Anfrage an interne Services weiter.

Empfohlene Massnahmen

• Sofortige Aktualisierung auf Serendipity 2.6.0 oder höher durchführen
• Administratorrechte („adminImagesAdd“) überprüfen und einschränken
• URL-Validierung in der Filterlogik überprüfen und testen
• Firewall-Regeln implementieren, um interne Services zu isolieren
• Upload-Verzeichnis-Berechtigungen neu evaluieren
• Logs auf verdächtige Upload-Aktivitäten analysieren

Bewertung

Schweregrad: High

Die Vulnerability ist besonders kritisch, da kein Patch verfügbar ist und sie von authentifizierten Benutzern mit administrativen Rollen ausgenutzt werden kann. Die Fähigkeit, interne Services abzufragen und Responses auszulesen, ermöglicht potenzielle Informationspreisgabe und weitere Angriffsvektoren auf die Infrastruktur.

„`