i-Netsolution Readymade Unilevel Ecommerce MLM: SQL-Injection in product-details.php

Zusammenfassung

Das PHP-Script Readymade Unilevel Ecommerce MLM (Build vom 2024-03-15) enthält eine SQL-Injection im Parameter 'id' von /product-details.php. Ein nicht authentifizierter Angreifer kann mit gezielten GET-Anfragen und boolean-basierten, gestapelten oder zeitbasierten SLEEP-Payloads Datenbankabfragen manipulieren und Datenbankinformationen auslesen. Der CVSS-4.0-Score beträgt 8.8 (Hoch) mit hoher Vertraulichkeitsauswirkung, und der CVE-Eintrag meldet einen öffentlichen Proof of Concept sowie eine automatisierbare Ausnutzung.

Betroffen

• i-Netsolution Readymade Unilevel Ecommerce MLM, Build vom 2024-03-15
• Andere Builds: Unbekannt.

Behoben in

Unbekannt. Es ist kein Herstellerfix und keine korrigierte Version bestätigt.

Umgehung

• Kein Workaround des Herstellers bestätigt.
• Zugriff auf betroffene Shops einschränken (VPN, IP-Allowlist oder HTTP-Authentifizierung), bis sie gepatcht oder ersetzt sind.
• Eine WAF ist nur eine vorübergehende Massnahme und behebt die Fehlerursache im Code nicht.

Ausnutzung

• Nicht authentifiziert, über das Netzwerk per GET-Anfrage erreichbar.
• CISA-SSVC-Bewertung im CVE-Eintrag: Ausnutzung PoC, automatisierbar: ja, technische Auswirkung: teilweise.
• Auf GitHub existiert ein öffentliches Nuclei-Erkennungstemplate.
• Shadowserver soll am 2024-09-14 Ausnutzung beobachtet haben, dies ist jedoch nicht unabhängig verifiziert.
• Die Quellen widersprechen sich, ob die CVE im CISA-KEV-Katalog als aktiv ausgenutzt gelistet ist. Unbekannt.

Unsere Empfehlung

• Alle Instanzen dieses Scripts identifizieren, inklusive Test- und Staging-Kopien.
• Verwundbare Shops offline nehmen oder den Zugriff einschränken, bis ein Patch oder Ersatz verfügbar ist.
• Webserver-Logs auf Anfragen an /product-details.php mit ungewöhnlichen 'id'-Werten prüfen.
• Falls solche Anfragen gefunden werden, Datenbankintegrität und mögliche Offenlegung von Kundendaten prüfen sowie Datenbank- und Admin-Zugangsdaten rotieren.
• Ersatz des Produkts planen, falls kein Herstellerfix veröffentlicht wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Nuclei detection template (GitHub) github.com
• Packet Storm entry 179886 packetstorm.news
• VulDB entry 425270 vuldb.com
• Vulners RAPID7 entry vulners.com
• i-Netsolution product page i-netsolution.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:58.