murtaza-nasir/speakr

Timeline

1. 15. Juli 2026Gescannt
2. 15. Juli 2026Gemeldet
3. 15. Juli 2026Vollständig code-gefixt
4. 15. Juli 2026Letztes Release mit Fix

Gefundene Lücken

• Stored XSSHoch

  Gemeldet: 15. Juli 2026 · Gefixt: 15. Juli 2026

  In Speakr konnten Name und Farbe von Team-Tags ungeprüft gespeichert und danach im Account-Bereich aller Team-Mitglieder angezeigt werden. Weil eine interne Escaping-Funktion Anführungszeichen nicht behandelte, ließ sich über einen manipulierten Farbwert Schadcode einschleusen, der beim Öffnen der Seite im Browser eines anderen Mitglieds lief und dessen Sitzung übernehmen konnte. Die Escaping-Funktion ist nachgebessert, zusätzlich prüft Speakr den Farbwert jetzt auch serverseitig.

• SSRF / TOCTOU-Race-ConditionMittel

  Gemeldet: 15. Juli 2026 · Gefixt: 15. Juli 2026

  Beim Versand von Webhooks prüfte Speakr die Zieladresse gegen interne und private IP-Bereiche, löste den Hostnamen für die eigentliche Verbindung aber ein zweites Mal unabhängig auf. Wer die DNS-Antworten der eigenen Webhook-Domain kontrolliert, konnte in diesem kurzen Zeitfenster eine interne Adresse einschleusen und so auf interne Dienste zugreifen, deren Antwort sich sogar über die Webhook-Historie auslesen ließ. Die Prüfung bindet sich jetzt an die tatsächlich verbundene IP-Adresse statt an einen erneuten DNS-Lookup.

• Authn BypassMittel

  Gemeldet: 15. Juli 2026 · Gefixt: 15. Juli 2026

  Bei aktivierter Single-Sign-On-Anmeldung verknüpfte Speakr eingehende Logins automatisch mit bestehenden Konten, sobald die E-Mail-Adresse übereinstimmte, ohne standardmäßig zu prüfen, ob der Anmeldeanbieter diese Adresse als verifiziert kennzeichnet. Bei einem fehlkonfigurierten oder unsicheren Identity-Provider hätte das die Übernahme fremder Konten ermöglicht. Die Prüfung gab es im Code bereits, sie ist jetzt aber die Voreinstellung.

• Vulnerable DependencyMittel

  Gemeldet: 15. Juli 2026 · Gefixt: 15. Juli 2026

  Speakr setzte eine ältere Version der Bibliothek Werkzeug ein, die eingehende Anfragen inklusive Datei-Uploads verarbeitet und bekannte Schwachstellen für Denial-of-Service-Angriffe über präparierte Upload-Daten enthielt. Weil die App gezielt große Audio- und Videodateien entgegennimmt, lag diese Angriffsfläche offen. Ein Update auf die reparierte Werkzeug-Version schließt die Lücke.

  Öffentliche Meldung ansehen