🟠 CVE-2026-14755: High Schwachstelle

„`html

Zusammenfassung

In der Software „Hotel and Tourism Reservation“ Version 1.0 wurde eine SQL-Injection-Anfälligkeit identifiziert.
Die Schwachstelle befindet sich in der Reservierungsverwaltungsseite und ermöglicht es Angreifern,
durch Manipulation des Parameters „delete“ SQL-Befehle auszuführen. Die Anfälligkeit hat einen CVSS-Score von 7.3
und wird als „High“ eingestuft. Das Exploit wurde öffentlich offengelegt.

Betroffene Systeme

Produkt: code-projects Hotel and Tourism Reservation
Version: 1.0
Komponente: Reservations Management Page (/admin/reservations.php)
Verbreitungsgrad: Verschiedene Installationen weltweit

Technische Details

Die SQL-Injection-Schwachstelle existiert in der Datei /admin/reservations.php.
Das Reservierungsverwaltungs-System validiert und bereinigt den GET/POST-Parameter „delete“ nicht ausreichend,
bevor dieser in SQL-Abfragen verwendet wird. Ein unauthentifizierter Angreifer kann über das Netzwerk
bösartige SQL-Syntax in diesen Parameter injizieren, um auf die Datenbank zuzugreifen. Dies ermöglicht
potenziell das Auslesen sensibler Daten, Manipulation von Reservierungsdatensätzen oder vollständige Kompromittierung
der Datenbankintegrität.

Empfohlene Massnahmen

Sofortmassnahmen:

• Aktualisierung auf eine gepatchte Version durchführen (sobald verfügbar)
• Eingabevalidierung und Prepared Statements implementieren
• Datenbankenberechtigungen auf erforderliche Funktionen beschränken
• Web Application Firewall-Regeln für SQL-Injection-Muster aktivieren
• Zugriff auf /admin/reservations.php durch IP-Whitelisting beschränken
• Systemlogs auf verdächtige Datenbankabfragen überprüfen

Bewertung

CVSS v3.1: 7.3 (High)
Angriffsvektor: Netzwerk (Network)
Authentifizierung: Nicht erforderlich
Patch-Verfügbarkeit: Nein

Die fehlende Patch-Verfügbarkeit und öffentliche Exploit-Offenlegung erfordern sofortige Sicherheitsmassnahmen.
Diese Anfälligkeit stellt ein erhebliches Risiko dar und sollte mit hoher Priorität adressiert werden.

„`