Zum Inhalt springen

Datenleck

Wie das Datenleck passiert ist

Woher die veröffentlichten Daten stammen und warum das eigene Panel von Exoliner dafür offen war.

Woher die Daten stammen

  1. Der Panel-Export (28. September 2026)

    Alles auf dieser Seite wurde über das eigene Mod-Panel von Exoliner exportiert: Nutzerkonten, Script-Ausführungslogs, Discord-Ticket-Protokolle, Moderationseinträge und der Statistik-Snapshot des Panels. Der Export entstand aus mehreren Abrufen auf Staff-Ebene aus mehr als einer Quelle.

  2. Abgeglichen mit einem früheren Leak (Juni 2025)

    Ein älterer Datenbank-Export von Exoliner aus dem Juni 2025 wurde ergänzt, um Lücken im Panel-Export zu füllen: Tausende Konto-E-Mails, Discord-IDs, verknüpfte Roblox-IDs, Flags zur E-Mail-Bestätigung und die genauen Anmeldedaten, die jetzt auf der Konten-Seite stehen.

  3. Warum es möglich war

    Eine unabhängige Sicherheitsprüfung von Panel und API von Exoliner ergab, dass jedes Konto mit Staff-Rang unprotokollierte, plattformweite Vorgänge ausführen konnte, ohne Export-Limits und ohne Audit-Warnungen. Die Daten unten betreffen nur Panel und API. Laut der Prüfung hat die Hauptwebsite weitere Probleme, die hier nicht aufgeführt sind.

Warum es möglich war

Die Prüfung fand keinen Zugang für Außenstehende. Die dokumentierte Gefährdung ist der mögliche Schadensradius: Jedes Konto mit Staff-Rang konnte unprotokollierte Schreibvorgänge auf plattformweite Konfiguration ausführen, darunter einen, der die Executor aller Nutzer auf einmal lahmlegen konnte.

1 kritisch3 hoch5 mittel5 niedrig
Geprüft exoliner.wtf and api.serverside.plusDatum 3. bis 5. Oktober 2026Methode Reverse Engineering des Bundles, rund 3,700 Endpoint-Tests, nmap, nuclei mit 13,742 Templates, TLS-Analyse und eine Matrix zur Umgehung der Autorisierung

Was die Prüfung ergab

Jeder Befund ist aus der Prüfung von Panel und API von Exoliner beschrieben. Die Hauptwebsite ist nicht abgedeckt; laut der Prüfung hat sie weitere Probleme.

Kritisch

1

  • Unprotokolliertes Überschreiben der globalen Offsets

    C-1

    Laut der Prüfung akzeptierte PUT /v1/staff/offsets jedes Staff-Token ohne Owner-Sperre und schrieb keinen Audit-Eintrag. Eine einzige Anfrage ersetzte die Offsets, von denen der Executor jedes Nutzers abhängt. Im Test sanken die Gesamt-Offsets in einem Aufruf von 401 auf 1, ohne Vorschau, Bestätigung oder Freigabe.

Hoch

3

  • Jedes Support-Protokoll per ID abrufbar

    H-1

    GET /v1/staff/tickets/{id}/transcript gibt Berichten zufolge jedes Ticket über fortlaufende Ganzzahlen ohne Besitzprüfung zurück und legt komplette private Gespräche offen, einschließlich Discord-Nutzer-IDs und Anhängen.

  • Script-Löschung für Staff erreichbar

    H-2

    DELETE /v1/scripts/delete hat Berichten zufolge mit einem Staff-Token ohne Besitzprüfung Erfolg gemeldet, womit sich jedes Script per ID löschen lässt, ohne Soft-Delete und ohne Audit-Eintrag.

  • Kein Rate-Limit beim Auslesen ganzer Tabellen

    H-3

    Die Prüfung berichtet, dass die gesamte Nutzertabelle mit 13,483 Einträgen in 135 Anfragen über 25 Sekunden ausgelesen wurde, ohne eine einzige Rate-Limit-Antwort.

Mittel

5

  • Kein zusätzliches 2FA bei privilegierten Schreibvorgängen

    M-1

    Offsets, Execute, Strike, Spiele-Schalter, Max Players, KI-Prüfungseinstellungen, Moderation-Intel und Chat-Mute akzeptieren Berichten zufolge alle ein einfaches Bearer-Token, sodass eine gestohlene Sitzung keinen zweiten Faktor braucht.

  • Tokens mit 30 Tagen, kein durchgesetzter Kill-Switch

    M-2

    Tokens gelten Berichten zufolge genau 30 Tage ohne Refresh-Endpoint, und das Feld authVersion, mit dem sich per einer Aktion alle Sitzungen widerrufen ließen, wird zurückgegeben, aber serverseitig nicht durchgesetzt.

  • Anti-Detection-Regeln für jeden Staff beschreibbar

    M-3

    Die Moderation-Intel-Endpoints, die die Anti-Detection-Regeln von Exoliner enthalten, akzeptieren Berichten zufolge Erstellen und Löschen von jedem Staff-Konto, sodass diese Regeln deaktiviert oder beschädigt werden könnten.

  • Gelöschte private Nachrichten für Staff sichtbar

    M-4

    Der Chat-Audit-Endpoint legt Berichten zufolge gelöschte private Nachrichten vollständig für jeden Staff offen, mit Nachrichteninhalt, Ziel-Nutzer-ID und dem Staff-Mitglied, das sie gelöscht hat.

  • Offenlegung von Daten auf Staff-Ebene

    M-5

    Staff-Endpoints geben Berichten zufolge eine Umsatzschätzung, die genaue Rangverteilung, Discord-IDs, das vollständige Moderationslog sowie Latenz und Server-Anzahlen pro Place preis.

Niedrig

5

  • Schwache Content-Security-Policy im Frontend

    L-1

    Die Frontend-Policy erlaubt Berichten zufolge unsafe-inline und unsafe-eval ohne Nonce, sodass jede Cross-Site-Scripting-Lücke eine Staff-Sitzung aus dem Local Storage auslesen könnte.

  • Defekte Nutzersuche

    L-2

    Jeder Suchparameter des Nutzer-Endpoints wird Berichten zufolge ignoriert und liefert dieselbe ungefilterte erste Seite, sodass Staff womöglich auf den falschen Konten arbeitet.

  • Öffentliche Informationspreisgabe

    L-3

    Health- und Stats-Endpoints ohne Authentifizierung geben Berichten zufolge Uptime und Live-Summen preis, und einheitliche 404-Antworten erlauben es, die Routentabelle auszulesen.

  • Serverfehler durch Typverwechslung

    L-4

    Eingaben, die keine Strings sind, verursachen Berichten zufolge bei mehreren Endpoints unbehandelte 500-Fehler. Die Fehlerantworten bleiben sauber, daher wirkt das eher wie ein Zuverlässigkeits- als ein Offenlegungsproblem.

  • Doppelter Backend-Hostname

    L-5

    Zwei Hostnamen liefern Berichten zufolge identische Routen und Autorisierung aus demselben Prozess, was die Angriffsfläche verdoppelt und eine Allowlist pro Host über den Zwilling umgehbar macht.

Lieber die durchsuchbare Übersicht? Konten durchsuchen