FooSun DotNetCMS: SQL-Injection über den CityId-Parameter in City_ajax.aspx

Zusammenfassung

FooSun DotNetCMS in den Versionen 1.0 und 2.0 enthält eine SQL-Injection-Schwachstelle im Parameter CityId der Seite /user/City_ajax.aspx. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit manipulierten GET-Anfragen und UNION-SELECT-Payloads Daten aus der dahinterliegenden MSSQL-Datenbank auslesen. Es existieren öffentliche Proof-of-Concept-Informationen und ein Erkennungs-Template, und der CVE-Eintrag meldet Ausnutzungsnachweise; das Risiko besteht daher für jede aus dem Internet erreichbare Installation.

Betroffen

• FooSun DotNetCMS 1.0
• FooSun DotNetCMS 2.0
• Betroffene Komponente: /user/City_ajax.aspx (Parameter CityId)

Behoben in

Unbekannt. Es wurde keine Sicherheitsmitteilung und kein Patch des Herstellers gefunden. Eine Drittquelle gibt an, dass die betroffenen Produkte vom Hersteller nicht mehr unterstützt werden.

Umgehung

• Zugriff auf /user/City_ajax.aspx über die Web Application Firewall oder den Reverse Proxy sperren oder einschränken
• WAF-Regeln zur Erkennung von SQL-Injection für diesen Endpunkt einsetzen
• Die Seite City_ajax.aspx entfernen oder deaktivieren, sofern die Website sie nicht benötigt
• Das Datenbankkonto, das vom CMS verwendet wird, auf die benötigten Rechte beschränken

Ausnutzung

• Ausnutzungsnachweis: Laut CVE-Eintrag hat die Shadowserver Foundation die Ausnutzung erstmals am 14.10.2023 beobachtet. Andere Quellen nennen ein anderes Datum (14.10.2026), daher ist der zeitliche Ablauf unklar.
• Öffentlicher Proof of Concept: Es existieren eine technische Beschreibung und ein nuclei-Erkennungs-Template.
• CISA-SSVC-Bewertung: Ausnutzung poc, automatisierbar ja, technische Auswirkung partiell.
• Der KEV-Status ist widersprüchlich: Eine Quelle führt einen VulnCheck-KEV-Eintrag auf, andere kennzeichnen die Schwachstelle nicht als bekannt ausgenutzt. Der CISA-KEV-Status wurde nicht bestätigt.
• EPSS liegt bei etwa 0,003 (geringe vorhergesagte Aktivität).

Unsere Empfehlung

• Prüfen, ob DotNetCMS-Installationen existieren, auch alte oder vergessene Websites.
• Falls vorhanden, prüfen, ob die Website aus dem Internet erreichbar ist, und den Zugriff einschränken.
• /user/City_ajax.aspx über die WAF oder den Reverse Proxy sperren oder einschränken.
• Web- und Datenbank-Logs auf Anfragen an diesen Pfad mit UNION-basierten Abfragezeichenfolgen prüfen und jeden Treffer als möglichen Kompromittierungsfall behandeln.
• Migration auf ein unterstütztes CMS planen, da kein Herstellerfix zu erwarten ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NVD/CVE record source: VulnCheck advisory www.vulncheck.com
• nuclei-templates detection template github.com
• cnblogs technical article www.cnblogs.com
• VulDB entry vuldb.com
• OpenCVE CVE page app.opencve.io
• Hol.org CVE record hol.org
• Exploit-Intel CVE page exploit-intel.com
• Archived vendor website (FooSun) web.archive.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:32.