ClipBucket v5: SQL-Injection über den Delete-Parameter des Werbeverwaltungsmoduls

Zusammenfassung

ClipBucket v5 bis 5.5.3-#197 enthält eine SQL-Injection-Schwachstelle im Delete-Parameter von admin_area/ads_manager.php. Ein authentifizierter Benutzer mit der Berechtigung ad_manager_access kann SQL in die Abfrage AdsManager::DeleteAd einschleusen. Mit zeitbasierten Blind-Payloads kann ein Angreifer Benutzerdaten wie Zugangsdaten und E-Mail-Adressen extrahieren oder beliebige Datenbankeinträge verändern und löschen.

Betroffen

• ClipBucket v5 (MacWarrior clipbucket-v5) ab 0 bis einschliesslich 5.5.3-#197
• Betroffener Code: upload/includes/classes/ads.class.php (Zeilen 102-110 im Commit f15cef1a2431786c31ffd79e81f55d6eeca4ebc0)

Behoben in

Unbekannt. PR #925 enthält einen Patch-Commit, aber der Merge-Status und die Aufnahme in ein Release sind nicht bestätigt.

Umgehung

• Kein vom Hersteller getesteter Workaround bestätigt.
• Eine Quelle schlägt generische WAF-Regeln für SQL-Injection-Muster vor; dies ist nicht vom Hersteller getestet.
• Den Zugriff auf /admin_area/ auf VPN oder interne Netzwerke beschränken.
• ad_manager_access von Konten entfernen, die diese Berechtigung nicht benötigen.

Ausnutzung

• CISA SSVC: Exploitation-Status "poc", nicht automatisierbar.
• Nicht im CISA-KEV-Katalog aufgeführt; in den konsultierten Quellen wurde keine Ausnutzung in freier Wildbahn gemeldet.
• Ein öffentlicher Bericht mit Demonstrationsanfragen existiert. Die Quellen widersprechen sich, ob öffentlicher Exploit-Code verfügbar ist; es ist von einem wahrscheinlich verfügbaren öffentlichen PoC auszugehen.
• Voraussetzung ist die Authentifizierung mit einem Admin-Bereich-Konto, das ad_manager_access besitzt.

Unsere Empfehlung

• Alle ClipBucket-v5-Instanzen inventarisieren und deren Build-Nummern erfassen.
• Den Admin-Bereich per IP-Adresse oder VPN beschränken und prüfen, wer ad_manager_access besitzt.
• Das Datenbankkonto mit minimalen Berechtigungen betreiben.
• Webprotokolle auf langsame oder wiederholte Anfragen an admin_area/ads_manager.php mit einem delete-Parameter prüfen.
• Die Werbe- und Benutzertabellen auf unerwartete Änderungen prüfen; bei Funden Admin-Zugangsdaten rotieren.
• PR #925 und die GitHub-Releases beobachten und nach Bestätigung einer korrigierten Version aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: ClipBucket v5 SQL injection via ads_manager.php delete parameter www.vulncheck.com
• ClipBucket v5 GitHub repository github.com
• Vulnerable code in ads.class.php at commit f15cef1 github.com
• ClipBucket v5 pull request #925 github.com
• HackMD write-up: SQL injection via delete ads in ClipBucket v5 hackmd.io
• OSV entry for CVE-2026-103766 osv.dev
• ClipBucket v5 releases github.com
• TheHackerWire: CVE-2026-103766 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:27.