Plattform
php
Komponente
wimi-teamwork
Behoben in
8.2.0
CVE-2026-35023 describes an insecure direct object reference (IDOR) vulnerability found in Wimi Teamwork On-Premises. This flaw exists within the preview.php endpoint, allowing unauthorized access to image previews by manipulating the item_id parameter. Successful exploitation could lead to the exposure of sensitive information from private or group conversations, impacting user privacy. The vulnerability affects versions 0.0.0 through 8.2.0, and a patch is available in version 8.2.0.
CVE-2026-35023 in Wimi Teamwork betrifft Versionen vor 8.2.0. Es handelt sich um eine unsichere direkte Objektreferenz (IDOR)-Schwachstelle im Endpoint preview.php. Diese Schwachstelle ermöglicht es einem Angreifer, durch Manipulation des Parameters itemid ohne ordnungsgemäße Autorisierungsprüfungen auf Bildvorschau-Dateien zuzugreifen, die anderen Benutzern in privaten oder Gruppenkonversationen gehören. Der Angreifer kann sequentielle itemid-Werte durchgehen, um diese Bilder zu identifizieren und abzurufen, was zu einer unbefugten Offenlegung sensibler Informationen führt. Das Risiko ist erheblich, da es die Vertraulichkeit interner Kommunikation gefährdet und kritische Benutzerdaten preisgeben kann. Die einfache Ausnutzbarkeit in Kombination mit dem potenziellen Einfluss auf die Privatsphäre machen diese Schwachstelle zu einer dringenden Priorität für die Behebung.
Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er HTTP-Anfragen an den Endpoint preview.php mit verschiedenen Werten für den Parameter itemid sendet. Durch das Durchlaufen einer Sequenz von itemids kann der Angreifer feststellen, welche IDs Bildern anderer Benutzer entsprechen. Es ist keine vorherige Authentifizierung erforderlich, um diese Anfragen durchzuführen, was die Ausnutzung vereinfacht. Die Schwachstelle liegt in der fehlenden Validierung von item_id in Bezug auf die Identität des Anfordernden. Dieses Fehlen einer Validierung ermöglicht es einem Angreifer, auf Ressourcen zuzugreifen, die ihm nicht gehören, und gefährdet so die Sicherheit der Plattform.
Exploit-Status
EPSS
0.03% (8% Perzentil)
CISA SSVC
CVSS-Vektor
Die Lösung zur Minderung von CVE-2026-35023 ist die Aktualisierung von Wimi Teamwork auf Version 8.2.0 oder höher. Diese Version enthält die notwendigen Korrekturen, um ordnungsgemäße Autorisierungskontrollen im Endpoint preview.php zu implementieren. Als vorübergehende Maßnahme empfiehlt es sich, den Zugriff auf den Endpoint preview.php von externen Netzwerken einzuschränken und die Serverprotokolle auf verdächtige Aktivitäten zu überwachen. Eine robuste Patch-Management-Richtlinie ist entscheidend, um sicherzustellen, dass alle Wimi Teamwork-Instanzen mit den neuesten Sicherheitsversionen aktualisiert werden. Darüber hinaus sollten Zugriffskontrollrichtlinien überprüft und verstärkt werden, um den Zugriff auf sensible Daten nur autorisierten Benutzern zu beschränken.
Actualice Wimi Teamwork On-Premises a la versión 8.2.0 o superior para mitigar la vulnerabilidad IDOR. Esta actualización implementa las verificaciones de autorización necesarias en el endpoint preview.php, previniendo el acceso no autorizado a imágenes de conversaciones privadas.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Eine IDOR-Schwachstelle (Insecure Direct Object Reference) tritt auf, wenn eine Webanwendung einen internen Identifikator verwendet, um auf ein Objekt zuzugreifen, ohne zu überprüfen, ob der Benutzer die Berechtigung dazu hat.
Wenn Sie eine Version vor 8.2.0 verwenden, ist Ihre Installation anfällig. Aktualisieren Sie auf die neueste Version, um die Schwachstelle zu beheben.
Überprüfen Sie die Serverprotokolle auf verdächtige Aktivitäten. Erwägen Sie, eine umfassende Sicherheitsprüfung durchzuführen und betroffene Benutzer zu benachrichtigen.
Schränken Sie den Zugriff auf den Endpoint preview.php von externen Netzwerken ein und überwachen Sie die Serverprotokolle.
Konsultieren Sie die offizielle Wimi Teamwork-Dokumentation oder kontaktieren Sie den Wimi-Technischen Support.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.