SeaCMS: Unauthentifizierte SQL-Injection über die Kommentar-API
Zusammenfassung
SeaCMS bis einschliesslich Version 8.7 enthält eine unauthentifizierte SQL-Injection-Schwachstelle im Parameter rlist[] der Kommentar-API (/comment/api/index.php). Ein entfernter Angreifer kann mit präparierten GET-Anfragen Datenbankabfragen manipulieren und über Fehlermeldungen Datenbankinformationen auslesen. Ausnutzung wurde erstmals am 2023-10-14 von der Shadowserver Foundation beobachtet, und öffentliche Scanner-Werkzeuge existieren.
Betroffen
- SeaCMS bis einschliesslich 8.7
- Genaue korrigierte Version: Unbekannt.
Behoben in
Unbekannt. Es wurde kein Herstellerfix oder Advisory gefunden.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Öffentlichen Zugriff auf /comment/api/index.php einschränken oder blockieren, oder das Kommentarmodul entfernen, sofern es nicht benötigt wird (vorgängig testen).
- Anwendung hinter einer Web Application Firewall mit Regeln für diesen Pfad betreiben und Logs auf Anfragen an diesen Pfad prüfen.
Ausnutzung
- Unauthentifiziert und über HTTP GET aus der Ferne ausnutzbar.
- Ausnutzung erstmals am 2023-10-14 von Shadowserver beobachtet.
- Ein öffentliches nuclei-Erkennungs-Template existiert.
- Der VulnCheck-KEV-Status ist in den Quellen widersprüchlich und konnte nicht verifiziert werden.
Unsere Empfehlung
- Alle öffentlich erreichbaren Webanwendungen auf SeaCMS-Installationen prüfen, auch vergessene oder bei Dritten gehostete Seiten.
- Wird SeaCMS gefunden, dringend handeln: Zugriff einschränken, das System isolieren und eine Migration auf ein gepflegtes CMS planen, da kein Fix bestätigt ist.
- Webserver-Logs auf Anfragen an /comment/api/index.php mit rlist[]-Parametern prüfen.
- Bis zum Beweis des Gegenteils von einer möglichen Ausnutzung ausgehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Nuclei detection template github.com
- UEDBox post www.uedbox.com
- SeaCMS vendor site www.seacms.com
- VulDB entry 425258 vuldb.com
- Strix CVE page www.strix.ai
- Exploit-Intel entry exploit-intel.com
- HOL Guard CVE page hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.