CVE-2026-85667: Kritisk hul i xiaobei webhook
Kritisk sikkerhedshul i xiaobei (CVE-2026-85667) lader angribere uden login sende falske beskeder og misbruge serveren til interne angreb. Luk adgangen til webhook-endepunktet i dag.
Hvad er det?
Sårbarheden CVE-2026-85667 findes i automatiseringsværktøjet xiaobei til og med version 5.5.2. Fejlen skyldes, at systemet ikke tjekker, om afsenderen af en besked til webhook-endepunktet /webhook_worktool overhovedet må sende data. Et webhook-endepunkt er en webadresse, som andre systemer kan sende beskeder til automatisk. Fordi der ingen kontrol er, kan hvem som helst på internettet sende falske beskeder ind i xiaobeis beskedkæde. Samtidig henter systemet mediefiler fra URL-adresser uden at validere dem, hvilket gør det muligt at udnytte serveren til såkaldt SSRF (server-side request forgery), hvor serveren narres til at sende kald til interne systemer på angriberens vegne.
Hvem rammer det?
Det rammer virksomheder og kommuner, der kører xiaobei i version 5.5.2 eller ældre, og hvor webhook-endepunktet /webhook_worktool er tilgængeligt fra internettet. Det gælder typisk installationer, der bruges til at koble chatbotter, kundeservice-integrationer eller interne agent-workflows sammen med andre systemer via webhooks.
Hvad kan ske?
En angriber kan uden login sende vilkårlige beskeder ind i jeres agent-pipeline, hvilket kan bruges til at sprede falsk information, udløse uønskede handlinger eller forstyrre automatiserede processer. Alvorligere er SSRF-delen: angriberen kan få jeres server til at kontakte interne systemer, som normalt ikke er tilgængelige udefra, for eksempel administrationspaneler, databaser eller cloud-metadata-tjenester. Det kan afsløre adgangskoder, interne adresser og andre følsomme oplysninger.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver hverken login (PR:N) eller brugerhandling (UI:N), og det kan udføres over netværket med lav teknisk kompleksitet (AC:L). Det betyder, at enhver med adgang til webhook-adressen kan udnytte hullet direkte. Konsekvensen rammer især fortrolighed og integritet: angriberen kan læse og manipulere data, men kan ikke lukke systemet ned (A:N). Der er ingen kendte tegn på aktiv udnyttelse endnu, men sårbarheden er offentligt beskrevet, hvilket øger risikoen for, at nogen forsøger sig.
Hvad gør jeg nu?
Følg trinene i rækkefølge, så hullet lukkes hurtigst muligt.
- Bloker eller begræns adgangen til /webhook_worktool, så kun kendte, betroede IP-adresser eller systemer kan sende data dertil, indtil der findes en opdatering.
- Undersøg om jeres xiaobei-installation kører version 5.5.2 eller ældre, og planlæg opgradering til en rettet version, så snart leverandøren udgiver den.
- Gennemgå logs for /webhook_worktool for uventede eller ukendte afsendere og mediehentninger fra interne eller usædvanlige URL-adresser.
- Segmentér netværket, så serveren, der kører xiaobei, ikke har direkte adgang til interne administrationssystemer eller cloud-metadata-tjenester.
- Skift adgangskoder og nøgler, hvis logs viser tegn på, at interne systemer er blevet kontaktet uventet.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om webhook-endepunktet er eksponeret, eller hvis I finder tegn på misbrug.
Luk webhook-adgang inden for 24 timer
Vi anbefaler, at I straks begrænser adgangen til webhook-endepunktet og overvåger logs for mistænkelig trafik, da der endnu ikke findes en officiel rettelse. Det er ikke forsvarligt at vente til en fast opdateringscyklus, når endepunktet er tilgængeligt fra internettet uden autentificering. Er webhook-funktionen ikke i brug, bør den deaktiveres helt, indtil leverandøren udgiver en rettet version.
Tidslinje
Konkrete eksempler
Kundeservice-chatbot udnyttet til internt angreb
En dansk mellemstor virksomhed bruger xiaobei til at koble sin kundeservice-chatbot sammen med interne systemer via webhooks. En angriber finder webhook-adressen og sender en besked, der får serveren til at hente en URL, som peger på virksomhedens interne administrationspanel. Herved lækkes adgangsoplysninger, som normalt kun er tilgængelige på det interne netværk.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-85667?
I er berørt, hvis I kører xiaobei i version 5.5.2 eller ældre, og webhook-endepunktet /webhook_worktool er tilgængeligt fra internettet eller fra utroværdige netværk.
Hvordan tjekker vi, om vores installation er sårbar?
Undersøg jeres xiaobei-version og tjek, om /webhook_worktool kan tilgås uden login udefra. Gennemgå også serverlogs for uventede kald til endepunktet.
Kan vi vente til weekenden med at gøre noget?
Nej. Fordi angrebet kræver hverken login eller brugerhandling, kan det udnyttes med det samme af enhver, der kender adressen. Begræns adgangen nu, og planlæg opgradering, når en rettelse findes.
Findes der allerede en opdatering, der lukker hullet?
Der er ikke registreret en officiel rettet version på offentliggørelsestidspunktet. Indtil da er den bedste beskyttelse at afskærme eller deaktivere webhook-endepunktet.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder konkrete tegn på, at personoplysninger er blevet tilgået eller lækket via SSRF-angrebet. Gennemgå logs, og vurder derefter, om der er sket et brud på persondatasikkerheden.
Hvad er SSRF, og hvorfor er det farligt her?
SSRF står for server-side request forgery. Det betyder, at angriberen kan få jeres egen server til at sende forespørgsler til interne systemer, som normalt er beskyttet mod adgang udefra, og dermed omgå netværkets sikkerhedsgrænser.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
xiaobei through 5.5.2 fails to implement authentication or signature validation on webhook endpoints, allowing unauthenticated attackers to inject arbitrary messages into the agent pipeline. Attackers can publish malicious messages via the /webhook_worktool handler and exploit unvalidated media URL fetching to perform server-side request forgery against internal services.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.