🟠 CVE-2026-40524: High Schwachstelle

„`html

Zusammenfassung

FrontAccounting vor Version 2.4.20 weist eine kritische SQL-Injection-Schwachstelle in der Funktion get_gl_transactions() auf. Der Parameter filter_type wird ohne Parameterisierung direkt in eine SQL IN()-Klausel eingefügt, was Angreifern mit SA_GLANALYTIC-Berechtigung ermöglicht, beliebige SQL-Befehle einzuschleusen und sensitive Finanzdaten zu extrahieren.

Betroffene Systeme

• FrontAccounting Versionen < 2.4.20
• Installation mit aktiviertem GL-Analytics-Modul
• Benutzer mit SA_GLANALYTIC-Berechtigung

Technische Details

Die Schwachstelle basiert auf unsicherer String-Konkatenation in der SQL-Abfrage:

SELECT ... WHERE glcode IN ({$filter_type})

Ein Angreifer kann durch Eingabe von 9999) OR 1=1 -- die Klausel schließen und zusätzliche Bedingungen injizieren. Die Exploitation erfolgt via Boolean-based Blind SQL Injection mit zuverlässigen Response-Größen-Differenzialen, wodurch schrittweise Daten extrahiert werden können.

Betroffene Daten umfassen Journaleinträge, Kontostände und Transaktionsdetails mit potenziellen Auswirkungen auf Finanzintegrität und Vertraulichkeit.

Empfohlene Massnahmen

• Sofort: Beschränkung des SA_GLANALYTIC-Zugriffs auf vertrauenswürdige Administratoren
• Kurzfristig: Aktualisierung auf FrontAccounting 2.4.20 oder später
• Monitoring: Überwachung verdächtiger GL-Analytics-Abfragen in Datenbankprotokollen
• Vorübergehend: Deaktivierung des GL-Analytics-Moduls bis zum Patch

Bewertung

CVSS-Score: 8.1 (High)
Angriffsvektor: Netzwerk
Authentifizierung erforderlich: Ja (SA_GLANALYTIC-Rolle)
Verfügbarkeit des Patches: Nein – nur Workaround möglich

Die Schwachstelle erfordert authenticated Zugriff, stellt aber erhebliches Risiko für Finanzunternehmen dar. Sofortige Remediation wird dringend empfohlen.

„`