LONDON (IT BOLTWISE) – Eine Windmill-Sicherheitslücke (CVE-2026-29059, CVSS 7,5) wird nachweislich aktiv ausgenutzt, um ohne Authentifizierung beliebige Dateien vom Server zu lesen. Der Angriffsweg nutzt eine Schwäche im „get_log_file“-Endpoint, bei der ein Dateiname ohne ausreichende Validierung in einen Pfad eingesetzt wird. Besonders kritisch wird es, wenn die Umgebung die Variable „SUPERADMIN_SECRET“ setzt, denn dann lässt sich damit über den Job-Preview-Zugriff ein Superadmin-Token ableiten. Betreiber sollen den Patch auf Windmill 1.603.3 zeitnah einspielen und betroffene Systeme umgehend prüfen.
Die von Windmill adressierte Schwachstelle CVE-2026-29059 zeigt, wie schnell eine einzelne fehlerhafte Eingabeprüfung in einer Web-API zur großflächigen Angriffsfläche werden kann. Laut VulnCheck wird „get_log_file“ derzeit in echten Umgebungen missbraucht: Der Endpoint erwartet einen Dateinamen, der anschließend ohne ausreichende Sanitization in einen Dateipfad übernommen wird. In der Praxis genügt der Einschluss von „../“-Sequenzen, um aus einem vorgesehenen Verzeichnis herauszubrechen und so Dateien außerhalb des erlaubten Pfads zu lesen.
Technisch handelt es sich um eine klassische Pfad-Traversal-Lücke auf Dateiebene. Der betroffene Parameter ist im Muster „/api/w/{workspace}/jobs_u/get_log_file/{filename}“ eingebettet; genau diese Verkettung ohne Sicherheitsfilter ist der Kern des Problems. CVSS 7,5 signalisiert eine hohe Ausnutzbarkeit, und VulnCheck beschreibt den Hauptimpact konkret: Über „/proc/1/environ“ kann – falls die relevante Umgebungskonfiguration aktiv ist – die Umgebungsvariable „SUPERADMIN_SECRET“ ausgelesen werden. Sobald dieser Wert gesetzt ist, kann er als Bearer-Token verwendet werden, um sich als Superadmin zu authentifizieren und anschließend über die Job-Preview-API beliebigen Code ausführen.
Für viele Betriebe ist dennoch wichtig, den Kontext richtig einzuordnen: Laut Windmill ist „SUPERADMIN_SECRET“ nicht standardmäßig gesetzt. Auf nicht konfigurierten, isolierten Windmill-Installationen reduziert sich die Gefährdung demnach vor allem auf „arbitrary file read“ – also das unbefugte Auslesen beliebiger Serverdateien. Gleichzeitig ist selbst dieser „zweite Schritt“ sicherheitsrelevant, weil Angreifer damit oft erst Informationen sammeln müssen: Konfigurationsdetails, Pfade, interne Namen, eventuell weitere Secrets, die dann für nachgelagerte Kompromittierungen reichen. VulnCheck berichtet zudem, dass die Ausnutzung speziell auf das Extrahieren von „/etc/passwd“ ausgerichtet war, also auf eine klassische Verifikation und Enumerationsstufe.
Dass sich die Angriffe nicht nur auf den direkten Windmill-Endpunkt beschränken, erhöht den operativen Aufwand. Aus der Sicherheitsforschung hieß es, dass Exploits sowohl gegen die „get_log_file“-Routen selbst als auch über den Nextcloud-Proxypfad beobachtet wurden. Diese Differenz ist praktisch relevant, weil viele Organisationen ihren Zugriff auf Applikationen nicht „hart“ terminieren, sondern über Reverse-Proxy- und Integrationsschichten absichern. Wenn eine Proxy-Schicht Pfadparameter unverändert durchreicht, kann die eigentliche Web-Logik trotz „vorgelagerter“ Infrastrukturfilter weiterhin verwundbar bleiben.
Die Größenordnung wirkt derweil nicht marginal: VulnCheck ordnet etwa 170 exponierte Systeme ein, verteilt auf 24 Länder. Für Sicherheitsteams heißt das vor allem, dass „patchen“ nicht reicht, solange keine aktive Such- und Validierungsrunde durchgeführt wird: Logs, API-Zugriffe, Job-Preview-Aktivitäten sowie die Serverumgebung sollten auf verdächtige Muster geprüft werden. Parallel ordnet sich die Meldung in eine breitere KEV-Dynamik ein: Die US-Behörde CISA hat vier Schwachstellen in das Known Exploited Vulnerabilities-Programm aufgenommen, darunter zwei WordPress-Bugs („wp2shell“, CVE-2026-60137 und CVE-2026-63030), eine Stack-basierte Buffer-Overflow in DD-WRT (CVE-2021-27137) sowie eine unauthentifizierte Remote-Code-Execution in Langflow (CVE-2026-0770). Solche Überschneidungen in der Ausnutzung zeigen, dass Angreifer häufig nicht „eine“ Lücke verfolgen, sondern gleich mehrere Einstiegswege parallel absichern.
Auch bei der Langflow-Lücke liefert die Telemetrie eine klare Timing-Signatur: KEVIntel meldet, dass am 27. Juni 2026 erste Ausnutzungsversuche auf Sensoren erfasst wurden, mit 137 Versuchen aus 46 eindeutigen Angreifer-IP-Adressen in Verbindung mit 17 Ländern. Innerhalb der letzten sieben Tage stammten mehr als die Hälfte der Aktivität von 20 IP-Adressen; beobachtete Payloads reichten von Basis-Kommandochecks wie „id“ und „whoami“ über das Auslesen von „/etc/passwd“ bis hin zu Versuchen, AWS-Credentials, Umgebungvariablen und Container-Metadaten zu extrahieren, sowie Malware-Downloads per „wget“ oder „curl“ und Skript-Ausführung zur Installation von Second-Stage-Komponenten. Für Windmill bedeutet das: Windmill 1.603.3 schließt CVE-2026-29059 nach Angaben von Windmill über zusätzliche Sanitization-Checks beim Dateinamen (Patch Januar 2026), und aus Sicht des Risikomanagements sollten Betreiber die Installation sowie die Umgebungskonfiguration („SUPERADMIN_SECRET“) priorisiert verifizieren und die exponierten Systeme bis zur anvisierten Remediation-Frist einer gründlichen Validierung unterziehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windmill-Kritik: CVE-2026-29059 liest Serverdateien ohne Authentifizierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windmill-Kritik: CVE-2026-29059 liest Serverdateien ohne Authentifizierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windmill-Kritik: CVE-2026-29059 liest Serverdateien ohne Authentifizierung« bei Google Deutschland suchen, bei Bing oder Google News!