„`html
Zusammenfassung
Die Schwachstelle CVE-2026-13529 betrifft YzmCMS in Versionen bis 7.5. Eine SQL-Injection-Anfälligkeit in der Installationsdatei ermöglicht es Angreifern, Datenbankabfragen zu manipulieren. Die Schwachstelle wird als Medium-Schweregrad klassifiziert (CVSS 5.6). Da kein Patch verfügbar ist und die Schwachstelle öffentlich bekannt ist, sollten betroffene Systeme dringend überprüft werden.
Betroffene Systeme
Die Schwachstelle betrifft YzmCMS-Installationen bis einschließlich Version 7.5. Das Vulnerability betrifft die Datei /application/install/index.php, weshalb insbesondere Systeme gefährdet sind, auf denen das Installationsverzeichnis noch nicht entfernt oder gesichert wurde. Verschiedene Systemkonfigurationen können betroffen sein, sofern sie die anfällige Version nutzen.
Technische Details
Die Schwachstelle liegt in der Verarbeitung des Parameters siteurl innerhalb der Installationsdatei. Eine unzureichende Eingabevalidierung ermöglicht es, SQL-Injection-Payload einzuschleusen. Der Angriffsvektor ist netzwerkbasiert und erfordert hohe Komplexität für die Ausnutzung. Der CVSS-Score von 5.6 deutet auf moderate Auswirkungen hin, wobei Vertraulichkeit und Integrität beeinträchtigt werden können.
Empfohlene Massnahmen
- SofortmaĂźnahmen: ĂśberprĂĽfen Sie, ob das Installationsverzeichnis
/application/install/noch öffentlich zugänglich ist. Löschen oder schützen Sie dieses Verzeichnis umgehend mit entsprechenden Zugriffsbeschränkungen. - Eingabevalidierung: Implementieren Sie strikte Validierung des
siteurl-Parameters mit Whitelist-Ansätzen. - Version-Update: Aktualisieren Sie YzmCMS auf eine neuere Version, sofern verfügbar.
- Web Application Firewall: Nutzen Sie WAF-Regeln zur Erkennung von SQL-Injection-Versuchen.
- Monitoring: Überwachen Sie Log-Dateien auf verdächtige Zugriffe auf die Installationsdatei.
Bewertung
Die fehlende Herstellerreaktion und die öffentliche Verfügbarkeit des Exploits erhöhen das praktische Risiko erheblich. Obwohl die CVSS-Score moderat ausfällt, wird eine umgehende Überprüfung und Sicherung empfohlen, um potenzielle Datenbankmanipulationen zu verhindern.
„`