C97net qEngine CMS, Kemana Directory, Cart Engine: Unbeschränkter Datei-Upload

Zusammenfassung

Drei Content-Management-Systeme von C97net erlauben einem Benutzer mit der Rolle Editor, über administrative Bildfelder (page_image oder cat_image) PHP-Skripte hochzuladen. Die hochgeladenen Dateien werden im web-erreichbaren Verzeichnis /public/image gespeichert und können zur Ausführung von Code auf dem Server aufgerufen werden. Für die Ausnutzung ist ein gültiges Editor-Konto erforderlich; öffentliche Exploit-Referenzen existieren.

Betroffen

• qEngine CMS bis 6.0.0
• Kemana Directory bis 1.5.6
• Cart Engine bis 3.0.0

Behoben in

Unbekannt. Für Kemana Directory und Cart Engine wurde keine Herstellerwarnung und keine korrigierte Version gefunden. Gemäss einer Drittquelle hat der Hersteller am 31. Mai 2014 qEngine 7 veröffentlicht; dies wurde nicht gegen die Herstellerseite geprüft.

Umgehung

• Skriptausführung in /public/image blockieren
• /public/image auf PHP- oder andere Skriptdateien prüfen
• Editor-Konten entfernen oder reduzieren
• Administrativen Zugriff auf IP-Adressen oder VPN beschränken
• Strikte Upload-Einschränkungen auf Webserver- oder Applikationsebene anwenden (gemäss VulDB; nicht verifiziert)

Ausnutzung

• Öffentliche Exploit-Referenzen existieren (Exploit-DB 32503, 32507, 32511)
• Authentifizierung als Editor ist erforderlich (PR:L)
• Keine Ausnutzung in freier Wildbahn bekannt; gemäss einem Drittanbieter-Tracker nicht im CISA KEV, nicht gegen den Katalog geprüft
• Die verwandte CVE-2014-125136 soll Datenbank-Backups offenlegen, die Passwort-Hashes von Administratoren enthalten können

Unsere Empfehlung

• Prüfen, ob Kunden qEngine CMS, Kemana Directory oder Cart Engine einsetzen, und die Version bestätigen
• /public/image auf unerwartete PHP-Dateien prüfen und diese entfernen
• Skriptausführung im Bildverzeichnis blockieren
• Editor-Konten und administrativen Zugriff einschränken, starke Passwörter und wenn möglich MFA erzwingen
• Migration auf ein unterstütztes CMS planen, falls keine korrigierte Version existiert
• Die verwandten CVE-2014-125136 und CVE-2014-125137 gleichzeitig beurteilen
• Webserver-Logs auf Anfragen an /public/image überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Zero Science Lab ZSL-2014-5174 (qEngine CMS) www.zeroscience.mk
• Zero Science Lab ZSL-2014-5178 (Kemana Directory) www.zeroscience.mk
• Zero Science Lab ZSL-2014-5182 (Cart Engine) www.zeroscience.mk
• Exploit-DB 32511 (qEngine CMS) www.exploit-db.com
• Exploit-DB 32507 (Kemana Directory) www.exploit-db.com
• Exploit-DB 32503 (Cart Engine) www.exploit-db.com
• VulDB CVE-2014-125138 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:50.