PHPOK: SQL-Injection über den Sort-Parameter in api.php

Zusammenfassung

PHPOK-Versionen ab 4.5.000 bis vor 5.4.081 enthalten eine SQL-Injection-Schwachstelle im Parameter sort des öffentlichen API-Endpunkts /api.php. Ein nicht authentifizierter Angreifer aus dem Netz kann über manipulierte GET-Anfragen ORDER-BY-Klauseln verändern und Datenbankinhalte über Fehlermeldungen auslesen. Der CVSS-4.0-Basiswert beträgt 8.8, mit hoher Auswirkung auf die Vertraulichkeit der Datenbank.

Betroffen

• PHPOK 4.5.000 bis vor 5.4.081
• Endpunkt: /api.php?c=project&f=index, Parameter sort

Behoben in

• Upgrade auf PHPOK 5.4.081 oder neuer (Herstellercommit d70c396f)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme. Unbekannt.
• Übergangslösung: öffentlichen Zugriff auf den verwundbaren Endpunkt am Webserver oder WAF einschränken oder blockieren (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• Keine Authentifizierung erforderlich; Ausnutzung über das Netz mittels GET-Anfragen möglich.
• Ein öffentliches Nuclei-Erkennungstemplate existiert, was den Aufwand für das Scannen nach der Schwachstelle senkt.
• Der Status einer bekannten Ausnutzung ist zwischen den Quellen widersprüchlich; in dieser Prüfung nicht durch CISA KEV bestätigt.
• Das in der CVE-Beschreibung genannte Datum der Erstbeobachtung (14.10.2023, Shadowserver) konnte nicht verifiziert werden.

Unsere Empfehlung

• Alle PHPOK-Installationen inventarisieren und deren Versionen prüfen.
• Betroffene Instanzen auf 5.4.081 oder neuer aktualisieren, zuerst die aus dem Internet erreichbaren Systeme.
• Bis zur Aktualisierung den Zugriff auf /api.php am Webserver oder WAF einschränken.
• Web- und Datenbankprotokolle auf Fehler im Zusammenhang mit dem Sort-Parameter prüfen.
• Bei vermuteter Ausnutzung Datenbank- und Administratorzugangsdaten rotieren und auf Datenabfluss prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• VulDB entry 425257 vuldb.com
• PHPOK vendor commit d70c396f github.com
• Nuclei detection template github.com
• HOL Guard CVE page hol.org
• Strix CVE page www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:57.