„`html
Zusammenfassung
Die Schwachstelle CVE-2026-15490 betrifft RafyMrX TOKO-ONLINE-ROTI bis zur Version ddfe1cd587be0a0b5135d8b6e85cce2ec3aece99.
Es handelt sich um eine SQL-Injection-Lücke in der Datei proses/add.php, die durch Manipulation der Parameter kode_produk oder kd_cs ausgelöst wird.
Die Schwachstelle ermöglicht unauthentifizierten Angreifern die Ausführung beliebiger SQL-Befehle. Der CVSS-Score beträgt 7.3 (High).
Betroffene Systeme
Betroffen sind folgende Komponenten:
- RafyMrX TOKO-ONLINE-ROTI bis Commit ddfe1cd587be0a0b5135d8b6e85cce2ec3aece99
- Datei: proses/add.php
- Parameter: kode_produk, kd_cs
Das Produkt nutzt ein Rolling-Release-Modell, weshalb genaue Versionsinformationen nicht verfĂĽgbar sind.
Technische Details
Die SQL-Injection-LĂĽcke existiert in der add.php-Datei des proses-Verzeichnisses. Die Eingabeparameter kode_produk und kd_cs werden nicht ausreichend validiert oder escaped, bevor sie in SQL-Abfragen verarbeitet werden.
Dies ermöglicht es Angreifern, eigene SQL-Befehle einzuschleusen und auszuführen.
Der Angriffsvektor ist netzwerkbasiert (Network), eine Authentifizierung ist nicht erforderlich. Das öffentlich verfügbare Exploit-Code erhöht das Risiko von aktiven Angriffen erheblich.
Empfohlene Massnahmen
- Sofortmassnahmen: Implementierung von Web-Application-Firewalls (WAF) zum Filtern verdächtiger SQL-Injection-Muster
- Input-Validierung: Strikte Validierung aller Eingabeparameter auf Whitelist-Basis
- Parameterisierte Abfragen: Verwendung von Prepared Statements statt String-Konkatenation
- Monitoring: Erhöhte Überwachung der Zugriffe auf proses/add.php
- Vendor-Kontakt: Regelmässiges Überprüfen auf verfügbare Sicherheitsupdates
Bewertung
CVSS v3.1 Score: 7.3 (High) | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
Kritikalität: Die Schwachstelle ermöglicht Remote Code Execution über SQL-Injection ohne Authentifizierung.
Die fehlende Vendor-Response und öffentlich verfügbare Exploits verstärken die Bedrohungslage erheblich.
Sofortige Remediation ist dringend erforderlich.
„`