Plattform
php
Komponente
chyrp-lite
Behoben in
2026.01
CVE-2026-35173 describes an Insecure Direct Object Reference (IDOR) / Mass Assignment vulnerability discovered in Chyrp Lite, an ultra-lightweight blogging engine. This flaw allows authenticated users with post editing permissions to modify posts belonging to other users, potentially leading to complete post takeover. The vulnerability impacts versions of Chyrp Lite prior to 2026.01 and has been resolved in version 2026.01.
CVE-2026-35173 betrifft Chyrp Lite, eine leichte Blogging-Engine, bei der authentifizierte Benutzer mit Bearbeitungsrechten für Beiträge (Beitrag bearbeiten, Entwurf bearbeiten, Eigener Beitrag bearbeiten, Eigener Entwurf bearbeiten) Beiträge bearbeiten können, die ihnen nicht gehören und für die sie keine Berechtigung haben. Diese IDOR (Indirect Object Reference) und Massenzuweisung-Schwachstelle entsteht, weil das System interne Kennungen bei der Verarbeitung von Bearbeitungsanfragen nicht ordnungsgemäß validiert. Ein Angreifer kann die post_attributes-Nutzlast manipulieren, indem er die IDs anderer Beiträge einfügt, wodurch er die Daten von Beiträgen ändern kann, auf die er keinen Zugriff haben sollte. Dies kann zu einer Änderung des Inhalts, einer Löschung von Beiträgen oder sogar einer Injektion von bösartigem Code führen, wodurch die Integrität der Website und die Benutzerinformationen gefährdet werden. Die CVSS-Schwere ist 6,5, was ein moderates Risiko anzeigt.
Ein Angreifer mit einem authentifizierten Benutzerkonto in Chyrp Lite und Bearbeitungsrechten für Beiträge kann diese Schwachstelle ausnutzen. Der Angreifer kann die ID eines Beitrags ermitteln, der ihm nicht gehört, und dann eine bösartige Bearbeitungsanfrage erstellen, indem er die post_attributes-Nutzlast manipuliert, um die ID des Zielbeitrags einzufügen. Wenn die Anwendung diese ID nicht ordnungsgemäß validiert, kann der Angreifer die Daten des Beitrags ändern, als ob er der Eigentümer wäre. Die Ausnutzung erfordert grundlegende Kenntnisse der Datenstruktur von Chyrp Lite und die Fähigkeit, manipulierte HTTP-Anfragen zu erstellen. Der Schwierigkeitsgrad der Ausnutzung ist relativ gering, sobald authentifizierter Zugriff und Bearbeitungsberechtigungen erlangt wurden.
Blog administrators and users with post editing permissions are at risk. Shared hosting environments are particularly vulnerable, as multiple Chyrp Lite instances may reside on the same server, increasing the potential for cross-site exploitation. Users relying on Chyrp Lite for sensitive information or critical communications should prioritize patching.
• php: Examine application logs for unusual POST requests containing manipulated post_attributes payloads. Search for patterns like id=... followed by unexpected user IDs.
grep 'post_attributes=id=' /var/log/apache2/access.log• generic web: Monitor for POST requests to post editing endpoints with suspicious parameters. Use a WAF to detect and block such requests.
curl -X POST -d "post_attributes=id=123" <post_edit_endpoint>• generic web: Check for unusual modifications to post content or metadata that do not align with expected user activity.
disclosure
Exploit-Status
EPSS
0.03% (7% Perzentil)
CISA SSVC
CVSS-Vektor
Die Lösung für CVE-2026-35173 ist die Aktualisierung von Chyrp Lite auf Version 2026.01 oder höher. Dieses Update implementiert strengere Sicherheitsvalidierungen, um die Manipulation interner Kennungen zu verhindern und sicherzustellen, dass Benutzer nur die Beiträge bearbeiten können, für die sie die entsprechenden Berechtigungen haben. Es wird dringend empfohlen, dieses Update so schnell wie möglich anzuwenden, um das Risiko einer Ausnutzung zu mindern. Überprüfen Sie außerdem die Benutzerrollen- und Berechtigungsrichtlinien in Chyrp Lite, um sicherzustellen, dass nur autorisierte Benutzer Zugriff auf die Bearbeitungsfunktionen von Beiträgen haben. Die Überwachung der Serverprotokolle auf verdächtige Aktivitäten kann ebenfalls dazu beitragen, potenzielle Ausnutzungsversuche zu erkennen und darauf zu reagieren.
Actualice Chyrp Lite a la versión 2026.01 o posterior para mitigar la vulnerabilidad de IDOR. Esta actualización corrige el problema de asignación masiva que permite a los atacantes modificar publicaciones que no poseen.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
IDOR steht für Indirect Object Reference (Indirekte Objektreferenz). Es handelt sich um eine Art von Schwachstelle, die auftritt, wenn eine Anwendung einen Kennzeichner (z. B. eine Beitrags-ID) verwendet, um auf ein Objekt zuzugreifen, aber nicht überprüft, ob der Benutzer die Berechtigung hat, auf dieses Objekt zuzugreifen.
Wenn Sie eine Version vor 2026.01 verwenden, ist Ihre Website anfällig. Sie können Ihre Version auf der Chyrp Lite-Verwaltungseite überprüfen.
Ändern Sie sofort alle Benutzerpasswörter, überprüfen Sie die Beiträge auf verdächtige Inhalte und wenden Sie das Update auf die neueste Version von Chyrp Lite an.
Derzeit gibt es keine spezifischen Tools, um CVE-2026-35173 zu erkennen. Web-Vulnerability-Scanner können jedoch IDOR-Muster identifizieren.
Sie finden weitere Informationen in Vulnerability-Datenbanken wie dem NIST NVD (National Vulnerability Database) oder in den Foren der Chyrp Lite-Community.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.