„`html
Zusammenfassung
Eine kritische SQL-Injection-Anfälligkeit wurde in der No Code Platform von Xpoda Türkiye Informatics Technology Inc. entdeckt. Die Sicherheitslücke ermöglicht es Angreifern, über das Netzwerk SQL-Befehle einzuschleusen und dadurch auf sensible Datenbankinhalte zuzugreifen. Mit einem CVSS-Wert von 9.8 handelt es sich um eine kritische Schwachstelle mit hohem Schadenpotenzial.
Betroffene Systeme
Betroffen sind Installationen der No Code Platform in den Versionen 4.3.1.0 bis einschließlich 20260722. Der Hersteller wurde frühzeitig benachrichtigt, hat jedoch nicht auf die Meldung reagiert. Es ist davon auszugehen, dass ein Sicherheitspatch nicht zur Verfügung steht.
Technische Details
Die Schwachstelle liegt in der unzureichenden Sanitisation von Benutzereingaben, die in SQL-Abfragen verarbeitet werden. Spezielle Zeichen werden nicht ordnungsgemäß neutralisiert, wodurch Angreifer beliebige SQL-Kommandos injizieren können. Der Angriffsvektor ist netzwerkbasiert, eine Authentifizierung ist nicht erforderlich. Durch die SQL-Injection können Angreifer Datenbankabfragen manipulieren, Daten exfiltrieren, ändern oder löschen sowie potenziell Code auf dem Server ausführen.
Empfohlene Massnahmen
- Sofortige Überprüfung der eingesetzten No Code Platform-Version in der Produktivumgebung
- Netzwerkzugriff auf betroffene Systeme einschränken (Firewall-Regeln)
- Intensive Überwachung von Datenbankabfragen und ungewöhnlichen Aktivitäten durchführen
- Web Application Firewall (WAF) mit SQL-Injection-Schutzregeln aktivieren
- Datenbankzugriffe auf Basis von Least-Privilege-Prinzipien überprüfen
- Regelmäßig nach Sicherheitsupdates des Herstellers suchen
- Notfalls Systemkonsolidierung oder Migration auf sichere Alternativen prüfen
Bewertung
Die fehlende Reaktion des Herstellers und das Fehlen eines Patches stellen ein erhebliches Sicherheitsrisiko dar. Unternehmen mit betroffenen Systemen sollten sofort Mitigationsmassnahmen implementieren und eine Risikoanalyse durchführen.
„`