„`html
Zusammenfassung
CVE-2026-15514 beschreibt eine SQL-Injection-Schwachstelle in Metasoft MetaCRM bis Version 6.4.0 Beta06. Die Vulnerability ermöglicht es einem Angreifer, über die manipulierte Parameter phprpc_args in der RPC-Schnittstelle SQL-Befehle einzuschleusen und damit die Datenbankintegrität zu gefährden. Mit einem CVSS-Score von 7.3 wird die Schwachstelle als hochgradig kritisch eingestuft.
Betroffene Systeme
- Metasoft 美特软件 MetaCRM Version 6.4.0 und frühere Versionen
- Beta-Versionen bis einschließlich Beta06
- Systeme mit aktivierter PHPRPC Remote Call Interface
Technische Details
Die Schwachstelle befindet sich in der Datei /customizemt/xkq/rpc.jsp innerhalb der Komponente PHPRPC Remote Call Interface. Die verwundbare Funktion RPCService.query validiert die Eingabeparameter phprpc_args unzureichend. Dies ermöglicht SQL-Injection-Attacken, die es einem Angreifer gestatten, beliebige SQL-Abfragen gegen die Backend-Datenbank auszuführen.
Angriffsvektor: Network (CVSS:3.1/AV:N)
Authentifizierung: Nicht erforderlich
Benutzerinteraktion: Nicht erforderlich
Empfohlene Massnahmen
- Sofortige Deaktivierung der PHPRPC Remote Call Interface, falls nicht essentiell
- Implementierung einer Web Application Firewall (WAF) mit SQL-Injection-Filterung
- Netzwerksegmentierung zur Einschränkung des Zugriffs auf MetaCRM-Systeme
- Regelmäßige Überwachung von Datenbankabfragen auf verdächtige Aktivitäten
- Kontakt mit Metasoft zur Verfügung eines Security Patches (derzeit nicht vorhanden)
- Erwägung einer Migration auf eine gesicherte Alternative
Bewertung
Die fehlende Herstellerreaktion und die öffentliche Verfügbarkeit des Exploits stellen ein erhebliches Risiko dar. Der Remote-Zugriff ohne Authentifizierung macht diese Schwachstelle zu einer kritischen Bedrohung für betroffene Infrastrukturen. Unmittelbare Mitigation ist erforderlich.
„`