„`html
Zusammenfassung
Eine kritische Authentifizierungslücke wurde in Rodauth vor Version 2.46.0 identifiziert. Die Schwachstelle CVE-2026-82466 ermöglicht es Angreifern, sich als beliebige Benutzer zu authentifizieren, indem sie die fehlerhafte Account-Auflösungslogik in der webauthn_login-Route ausnutzen. Der CVSS-Score von 8.7 unterstreicht die erhebliche Sicherheitsbedrohung.
Betroffene Systeme
Die Schwachstelle betrifft Rodauth-Installationen vor Version 2.46.0. Webauthn_login-Implementierungen sind direkt gefährdet. Systeme, die auf Rodauth für WebAuthn-basierte Authentifizierung angewiesen sind, müssen sofort geprüft werden. Besonders kritisch sind Umgebungen mit sensiblen Benutzerdaten oder privilegierten Konten.
Technische Details
Die Schwachstelle liegt in der fehlerhaften Account-Validierungslogik der webauthn_login-Route. Das System validiert die Credential-Bindung unzureichend und fällt stattdessen auf Session-Account-Identifier zurück. Authentifizierte Angreifer können diese Fallback-Mechanik missbrauchen, um die Authentifizierung unter beliebigen Konten abzuschließen. Dies ermöglicht horizontale Privilege-Escalation und unbefugten Zugriff auf fremde Konten ohne gültige Credentials.
Empfohlene Massnahmen
- Sofortiges Update: Upgrade auf Rodauth 2.46.0 oder neuer durchfĂĽhren
- Netzwerk-Segmentierung: WebAuthn-Endpunkte beschränken und überwachen
- Audit-Logging: Verdächtige Authentifizierungsvorgänge überprüfen
- Zusätzliche Authentifizierung: Multi-Faktor-Authentifizierung für sensible Konten implementieren
- Monitoring: Anomalien bei Account-Zugriff detektieren
Bewertung
Mit einem CVSS-Score von 8.7 (High) erfordert diese Schwachstelle sofortige Aufmerksamkeit. Das Fehlen eines Patches erschwert die Situation zusätzlich. Organisationen sollten unmittelbar ein Upgrade planen und alternative Sicherheitsmaßnahmen implementieren, bis ein offizieller Patch verfügbar ist.
„`