Kurzfassung

OpenPanel ist von der Schwachstelle CVE-2026-93985 betroffen. In der js-runtime erlaubt eine Sandbox-Flucht über den Validator für JavaScript-Webhook-Templates unter bestimmten Bedingungen die Ausführung beliebigen Codes im Worker-Prozess; der CVSS-Basiswert liegt bei 9.4 und damit im kritischen Bereich. Angreifer benötigen laut Beschreibung Projekt-Schreibrechte, Nutzerinteraktion ist nicht erforderlich.

Was ist passiert?

Betroffen ist die OpenPanel-Komponente js-runtime bis einschließlich Commit bad75bdd. Der Fehler steckt im Validator für JavaScript-Webhook-Templates. Dort wird ein Ausbruch aus der vorgesehenen Sandbox möglich, weil berechnete Member-Zugriffe auf Konstruktor-Ketten nicht wirksam unterbunden werden.

Wer in einem Projekt Schreibzugriff hat, kann demnach ein präpariertes Webhook-Template anlegen. Über eine bestimmte Schreibweise bei Eigenschaften lässt sich der Function-Konstruktor erreichen. In der Folge ist eine Ausführung von eigenem Code im Worker-Prozess möglich.

Technische Details

Die Schwachstelle betrifft den Umgang mit berechneter Property-Notation innerhalb des Template-Validators. Nach den veröffentlichten Angaben kann dadurch eine Konstruktor-Kette erreicht werden, die letztlich den Function-Konstruktor verfügbar macht. Genau dieser Übergang hebelt die beabsichtigte Abschottung der JavaScript-Ausführung aus.

Der CVSS-Basiswert beträgt 9.4 nach CVSS 4.0. Der Vektor beschreibt einen Angriff über das Netzwerk mit geringer Komplexität, ohne Nutzerinteraktion, aber mit einfachen vorhandenen Berechtigungen auf Projektebene; das passt zur Voraussetzung, dass Angreifer Schreibrechte im betroffenen Projekt besitzen müssen. Wichtig für die Einordnung: Der CVSS-Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits beobachtete Ausnutzung in realen Umgebungen.

Zu den Auswirkungen nennt die Schwachstellenbeschreibung hohe Vertraulichkeits-, Integritäts- und Verfügbarkeitsrisiken. Weil der Code im Worker-Prozess ausgeführt werden kann, hängt das tatsächliche Schadenspotenzial stark davon ab, welche Rechte dieser Prozess in der jeweiligen OpenPanel-Installation hat und welche internen Systeme oder Geheimnisse für ihn erreichbar sind.

Wer ist betroffen?

Betroffen ist OpenPanel js-runtime bis einschließlich Commit bad75bdd. Eine belastbare Versionsabgrenzung über diese Commit-Angabe hinaus liegt nicht vor. Ebenso ist nicht mitgeteilt, welche Releases den fehlerhaften Stand konkret enthalten oder ab welcher Version ein Fix verfügbar ist.

Praktisch relevant ist die Schwachstelle vor allem dort, wo mehrere Benutzer oder Teams mit unterschiedlichen Rechten in OpenPanel-Projekten arbeiten und Schreibzugriff auf Webhook-Templates erhalten können. In streng abgeschotteten Einzelplatz- oder Testumgebungen ist das Risiko geringer, verschwindet aber nicht, wenn kompromittierte Konten oder Insider-Szenarien realistisch sind.

Für die meisten Privatnutzer im DACH-Raum spielt der Fall kaum eine Rolle, da es sich um ein Administrations- beziehungsweise Hosting-nahes Produkt handelt.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob OpenPanel im Einsatz ist und ob Ihre Umgebung die betroffene js-runtime bis Commit bad75bdd enthält. Wenn Sie den Code-Stand nicht schnell verifizieren können, behandeln Sie die Installation vorsorglich als potenziell betroffen.

Setzen Sie anschließend bei den Rechten an. Beschränken Sie Projekt-Schreibzugriffe konsequent auf wirklich benötigte Konten. Entfernen Sie insbesondere weit gefasste Rechte für Webhook-Konfigurationen, temporäre Admin-Zugänge und verwaiste Konten ehemaliger Mitarbeiter oder Dienstleister.

Überprüfen Sie bestehende Webhook-Templates auf auffällige JavaScript-Konstrukte, vor allem auf berechnete Property-Zugriffe und ungewöhnliche Zugriffsketten. Wenn Ihre Prozesse es zulassen, deaktivieren Sie das Anlegen oder Bearbeiten von JavaScript-Webhook-Templates vorübergehend, bis ein abgesicherter Stand bestätigt ist.

Segmentieren Sie die Laufzeitumgebung des Worker-Prozesses so weit wie möglich. Der Prozess sollte keine unnötigen Dateirechte, keine weitreichenden Netzwerkverbindungen und keinen Zugriff auf sensible Geheimnisse wie API-Schlüssel, Tokens oder interne Verwaltungsendpunkte haben. Wo Container oder separate Laufzeitkonten verwendet werden, sollten diese auf Minimalrechte zurückgeführt werden.

Kontrollieren Sie Protokolle und Änderungsverläufe auf neu angelegte oder kürzlich geänderte Webhook-Templates. Achten Sie dabei auf Änderungen durch unerwartete Benutzer, auf ungewöhnliche Ausführungsfehler im Worker-Prozess und auf nachgelagerte Aktivitäten wie ausgehende Verbindungen oder den Zugriff auf interne Dienste.

Ob ein Patch bereitsteht, ist nicht mitgeteilt. Eine Herstellerinformation mit offiziellen Details oder Korrekturhinweisen wurde hier nicht genannt; deshalb sollten Sie interne Schutzmaßnahmen priorisieren, bis OpenPanel selbst einen bereinigten Stand eindeutig kommuniziert.

Einschätzung von CyberSecurity-News.de

Technisch ist der Fall ernst. Eine Sandbox-Flucht mit möglicher Codeausführung in einem Server-nahen Prozess ist kein kosmetischer Fehler, sondern kann je nach Rechtevergabe schnell zum Einfallstor für weitergehende Kompromittierungen werden. Die Voraussetzung von Projekt-Schreibrechten senkt das Risiko nicht auf ein harmloses Maß, weil genau solche Rechte in kollaborativen Betriebsumgebungen oft häufiger vergeben sind als nötig.

Die Informationslage ist allerdings noch lückenhaft. Es fehlt eine klare Zuordnung zu veröffentlichten Versionen, und ein bestätigter Fix-Stand ist nicht benannt. Für Administratoren erschwert das die schnelle Risikobewertung erheblich. Wer OpenPanel produktiv betreibt, muss deshalb vor allem über Berechtigungen, Isolation und Sichtprüfung der Templates reagieren.

Auffällig ist, dass die technische Beschreibung bereits präzise genug ist, um konkrete Prüfungen abzuleiten, während operative Angaben zur Absicherung fehlen. Für Unternehmen im DACH-Raum bedeutet das: weniger auf Versionslisten warten, mehr sofort die tatsächlich ausnutzbare Angriffsfläche reduzieren.

Fazit

Wenn Sie OpenPanel einsetzen, sollten Sie CVE-2026-93985 kurzfristig prüfen und Projekt-Schreibrechte für Webhook-Templates restriktiv handhaben. Bis ein eindeutig benannter Fix vorliegt, sind Rechtehärtung, Protokollkontrolle und eine enge Isolation des Worker-Prozesses die wichtigsten Schritte.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-93985.