Datenpanne bei Alternative für Deutschland
Mitgliedsanträge ungeschützt von Webserver abrufbar.

Auf einem Webserver der Alternative für Deutschland (AfD) waren Mitgliedsanträge ungeschützt im Verzeichnis /download von jedermann ohne Authentifizierung abrufbar. Die Internetaktivistin Ornella Al-Lami (im Internet mit dem Nickname N3ll4 bekannt) entdeckte das Datenleck und veröffentlichte ihren Fund am 23. Juni 2023 auf Twitter. Auch wies sie auf weitere Schwachstellen in mehreren Subdomains hin, u.a. auf eine Schwachstelle im Modul mod_proxy des Apache HTTP Servers (CVE 2023-25690), die eine HTTP Request Smuggling Attacke ermöglicht.

Ein Pressereferent der AfD antwortet auf Anfrage von heise online, dass nach rascher Prüfung des Sachverhalts nicht ausgeschlossen werden kann, dass es für bis zu 15 Mitgliedsanträge eine Zugriffsmöglichkeit gegeben habe. Der Zugriff wurde laut AfD unmittelbar nach Bekanntwerden geschlossen.