C97net qEngine CMS, Kemana Directory, Cart Engine: Offenlegung von Datenbank-Backups
Zusammenfassung
Drei Webanwendungen von C97net speichern Datenbank-Backups im web-zugänglichen Verzeichnis /admin/backup. Unauthentisierte Angreifer können das Verzeichnis auflisten oder vorhersehbare Backup-Dateinamen erraten und Dumps mit Benutzerdaten und Passwort-Hashes der Administratoren herunterladen. Die Schwachstelle erfordert weder Anmeldung noch Benutzerinteraktion.
Betroffen
- qEngine CMS bis und mit 6.0.0
- Kemana Directory bis und mit 1.5.6
- Cart Engine bis und mit 3.0.0
Behoben in
- qEngine CMS: Version 7 (laut Zero Science Lab Advisory am 31. Mai 2014 veröffentlicht; nicht gegen eine Herstellerquelle verifiziert)
- Kemana Directory: Unbekannt.
- Cart Engine: Unbekannt.
Umgehung
- Keine Herstellermassnahme gefunden.
- Backup-Dateien aus dem Webroot entfernen und ausserhalb davon speichern.
- Verzeichnisauflistung deaktivieren und Webzugriff auf /admin/backup blockieren.
- /admin auf interne IP-Adressen oder VPN beschränken.
Ausnutzung
- Öffentlich verfügbarer Proof of Concept (Exploit-DB 32505, 32509, 32511).
- VulDB gibt an, dass kein Exploit verfügbar ist; dies widerspricht den öffentlichen PoCs.
- Keine Berichte über aktive Ausnutzung gefunden; laut Strix nicht im CISA-KEV-Katalog.
Unsere Empfehlung
- Inventar auf qEngine CMS, Kemana Directory und Cart Engine prüfen.
- Bei Fund auf einem Internet-exponierten Host sofort handeln: exponierte Backup-Dateien entfernen und /admin/backup blockieren.
- Webserver-Logs auf Anfragen an den Backup-Pfad und Downloads von Backup-Dateien prüfen.
- Bei einer offengelegten Sicherung Administratorpasswörter zurücksetzen, Benutzerkonten prüfen und Passwortwiederverwendung kontrollieren.
- Migration auf eine unterstützte Plattform planen, falls für das eingesetzte Produkt keine korrigierte Version existiert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Zero Science Lab ZSL-2014-5172 (qEngine CMS) www.zeroscience.mk
- Zero Science Lab ZSL-2014-5176 (Kemana Directory) www.zeroscience.mk
- Zero Science Lab ZSL-2014-5180 (Cart Engine) www.zeroscience.mk
- Exploit-DB 32505 (Cart Engine) www.exploit-db.com
- Exploit-DB 32509 (Kemana Directory) www.exploit-db.com
- Exploit-DB 32511 (qEngine CMS) www.exploit-db.com
- VulnCheck CVE record context (Vulners NVD) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:50.
Referenzen der NVD (7)
- https://www.exploit-db.com/exploits/32505
- https://www.exploit-db.com/exploits/32509
- https://www.exploit-db.com/exploits/32511
- https://www.vulncheck.com/advisories/c97net-qengine-cms-through-6.0.0-kemana-directory-through-1.5.6-cart-eng…
- https://www.zeroscience.mk/advisories/ZSL-2014-5172.html
- https://www.zeroscience.mk/advisories/ZSL-2014-5176.html
- https://www.zeroscience.mk/advisories/ZSL-2014-5180.html
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.