🟡 CVE-2026-11506: Medium Schwachstelle

„`html

Zusammenfassung

In der CodeAstro Leave Management System Version 1.0 wurde eine SQL-Injection-Schwachstelle identifiziert. Die Vulnerabilität befindet sich in der Datei /admin/search_staff_for_deletion.php und ermöglicht es Angreifern, durch Manipulation des Parameters „Name“ unautorisierte Datenbankabfragen auszuführen. Die Schwachstelle wurde bereits öffentlich offengelegt und es existieren bekannte Exploits.

Betroffene Systeme

• CodeAstro Leave Management System Version 1.0
• Potentiell alle Instanzen mit dieser Software-Version
• Administrationsbereich (/admin/-Pfad)

Technische Details

Vulnerabilitätstyp: SQL Injection (CWE-89)

Betroffener Parameter: Name-Argument in /admin/search_staff_for_deletion.php

Angriffsvektor: Netzwerk-basiert, keine Authentifizierung erforderlich

CVSS v3.1 Score: 6.3 (Medium)

Der anfällige Code verarbeitet Benutzereingaben unzureichend, wodurch Angreifer SQL-Befehle in die Datenbankabfrage injizieren können. Dies ermöglicht Datenleaks, Datenmanipulation oder potenzielle Remote-Code-Execution abhängig von Datenbankberechtigungen.

Empfohlene Massnahmen

• Sofort: Einschränkung des Zugriffs auf den Admin-Bereich durch WAF-Regeln oder IP-Whitelisting
• Input-Validierung: Implementierung strikter Eingabeprüfungen für den Name-Parameter
• Prepared Statements: Umstellung auf parametrisierte Abfragen (Prepared Statements)
• Patch-Monitoring: Regelmäßige Überprüfung auf Sicherheitsupdates des Herstellers
• Datenbank-Härtung: Minimale Berechtigungen für DB-Benutzer vergeben
• Logging: Aktivierung und Überwachung von Datenbankabfrage-Logs

Bewertung

Mit einem CVSS-Score von 6.3 (Medium) und der Verfügbarkeit öffentlicher Exploits stellt diese Schwachstelle ein signifikantes Risiko dar. Da kein Patch verfügbar ist, sollten Betreiber dieser Software dringend kompensatorische Sicherheitsmassnahmen implementieren oder ein Upgrade auf eine patched Version durchführen.

„`