Eine Schwachstelle mit mittlerem Schweregrad wurde in mojoPortal identifiziert, einer Open-Source-CMS-Plattform, die häufig von Bildungseinrichtungen, Regierungsbehörden und kleinen Unternehmen genutzt wird. Diese Sicherheitslücke ermöglicht es nicht authentifizierten Angreifern, über eine Legacy-API zur Bildverwaltung auf sensible Dateien zuzugreifen. Ziel dieser Offenlegung ist es, die Risiken im Zusammenhang mit unsicheren Dateizugriffsmodellen aufzuzeigen und die Bedeutung der Validierung von Benutzereingaben zu unterstreichen, insbesondere bei veraltetem Code, der weiterhin online zugänglich ist.

Produkt	mojoPortal
Datum	22.04.2025 12:26:11
Informationen	Trending

Technische Zusammenfassung

Die Schwachstelle betrifft mojoPortal-Versionen ≤ 2.9.0.1, insbesondere den Endpunkt /api/BetterImageGallery/imagehandler. Dieser Handler bereinigt den Parameter path nicht ordnungsgemäß, was Directory-Traversal-Angriffe ermöglicht, die interne Konfigurationsdateien offenlegen.

Wichtige technische Punkte:

• Nicht authentifizierter Dateizugriff: Der Handler akzeptiert Dateipfade aus Benutzereingaben, ohne das Traversal über das vorgesehene Bildverzeichnis hinaus einzuschränken.
• Zugriff auf Web.Config: Ein Angreifer kann ../../../Web.Config anfordern und so sensible Anwendungsgeheimnisse wie Verschlüsselungsschlüssel und Datenbankanmeldedaten erhalten.
• Legacy-Endpunkt: Der anfällige Endpunkt ist Teil eines alten Bildverwaltungsmoduls, das in vielen Installationen möglicherweise nicht mehr aktiv gewartet wird.

Empfehlungen

Patch (offizielle Veröffentlichung steht aus)

• Überwachen Sie das GitHub-Repository von mojoPortal auf offizielle Patches oder Versionshinweise zu diesem Problem.
• Entfernen oder beschränken Sie vorübergehend den Zugriff auf die BetterImageGallery-API, falls diese nicht aktiv genutzt wird.

Temporäre Schadensbegrenzung

• Implementieren Sie Middleware oder Filter im Reverse Proxy, um ../-Muster in URLs zu blockieren.
• Beschränken Sie den Zugriff auf .config-Dateien auf Webserver-Ebene (IIS oder Apache).

[Callforaction-THREAT-Footer]