„`html
CVE-2026-14749: Code Injection in mjperpinosa stumasy
Zusammenfassung
In der Software mjperpinosa stumasy bis einschließlich Version 327d1b0f2915ba79d7ef8ebb74553e987609d9be wurde eine kritische Code-Injection-Schwachstelle identifiziert. Die Vulnerability mit dem CVSS-Score 7.3 (High) ermöglicht es Angreifern, über das Netzwerk beliebigen Code auszuführen. Ein öffentlich verfügbares Exploit-Skript existiert bereits.
Betroffene Systeme
Folgende Komponenten sind betroffen:
- mjperpinosa stumasy bis Commit 327d1b0f2915ba79d7ef8ebb74553e987609d9be
- Datei: application/pages/imba_calculator/calculate.php
- Funktion: eval()
Die Schwachstelle betrifft alle Versionen ohne korrigierten Code.
Technische Details
Die Vulnerabilität liegt in der unsicheren Behandlung des Parameters mathematical_sentence in der eval()-Funktion der Datei calculate.php. Der Parameter wird nicht ausreichend validiert oder desinfiziert, bevor er an die eval()-Funktion übergeben wird. Dies ermöglicht Code-Injection-Angriffe.
Angriffsvektor: Netzwerk (Remote Code Execution möglich)
Authentifizierung: Nicht erforderlich
CVSS v3.1 Score: 7.3 (High)
Angreifer können manipulierte mathematical_sentence-Parameter senden, um beliebigen PHP-Code auszuführen.
Empfohlene Massnahmen
- Umgehende Überprüfung auf Exploitation-Versuche in Log-Dateien
- Netzwerk-Isolation betroffener Systeme durchführen
- Input-Validierung und Sanitization implementieren
- eval()-Funktionen durch sichere Alternativen ersetzen
- Web Application Firewall (WAF) einsetzen zur Filterung verdächtiger Parameter
- Kontakt mit Projektwarterbung aufnehmen für Security-Update
- Rolling Release Strategie des Projekts beachten
Bewertung
Diese Vulnerability stellt ein erhebliches Sicherheitsrisiko dar. Mit CVSS 7.3 und verfügbarem Public Exploit ist eine zeitnahe Behebung kritisch. Das fehlende Response vom Projektteam erschwert die Situation. Organisationen sollten sofort handeln und interne Patches oder Web Application Firewalls als temporäre Maßnahmen implementieren.
„`