„`html

CVE-2026-73185: Unauthentisierte SQL Injection in NGG Smart Image Search

Zusammenfassung

Eine kritische SQL-Injection-Schwachstelle wurde in NGG Smart Image Search in Versionen vor 4.0.0 identifiziert. Die Vulnerabilität ermöglicht unauthentisierten Angreifern, beliebige SQL-Befehle auszuführen und auf sensible Datenbankeinträge zuzugreifen. Mit einem CVSS-Score von 9.3 stellt diese Schwachstelle eine erhebliche Sicherheitsbedrohung dar.

Betroffene Systeme

• NGG Smart Image Search < 4.0.0
• Alle Versionen vor Version 4.0.0
• Verschiedene Installationen und Konfigurationen

Technische Details

Die SQL-Injection tritt in den Suchanfrage-Parametern auf, die nicht ausreichend validiert und gefiltert werden. Angreifer können über GET- oder POST-Parameter speziell handwerkelte SQL-Befehle einschleusen. Diese werden direkt in die Datenbankabfrage integriert, ohne vorherige Sanitierung oder Verwendung von Prepared Statements.

Angriffsvektor: Network | Authentifizierung erforderlich: Nein

Die Schwachstelle ermöglicht:

• Auslesen von Datenbankinhalten (Datendiebstahl)
• Manipulation von Datenbankeinträgen
• Mögliche Ausführung von Dateisystem-Operationen

Empfohlene Massnahmen

• Sofortiges Update: Ein Sicherheitspatch für Version 4.0.0 wird dringend empfohlen
• Datenbankzugriff beschränken: Nutzer-Rollen minimieren
• WAF-Regeln: Web Application Firewall-Regeln zur Erkennung von SQL-Injection-Mustern aktivieren
• Logs überwachen: Verdächtige Datenbankzugriffe im Audit-Log prüfen
• Eingabevalidierung: Alle Nutzereingaben strikt validieren

Bewertung

CVSS v3.1 Score: 9.3 (Kritisch)

Status: Patch verfügbar – noch nicht implementiert

Diese Schwachstelle erfordert sofortige Aufmerksamkeit. Unternehmen sollten eine Patching-Strategie implementieren und betroffene Systeme priorisieren.

„`