SLiMS: SQL-Injection über Identifier-Injection in Admin-AJAX-Endpunkten

Zusammenfassung

SLiMS 9.8.0 (Senayan Library Management System) ist von einer SQL-Injection in drei Admin-AJAX-Endpunkten betroffen. Die Parameter tableName und tableFields per POST werden ohne Validierung in SQL-Tabellen- und Spaltenbezeichner eingesetzt. Jedes authentifizierte Mitarbeiterkonto, unabhängig von der Rolle, kann beliebige Datenbankinhalte auslesen, einschliesslich der Benutzertabelle mit den Passwort-Hashes des Admins. Öffentlich verfügbares Proof-of-Concept-Material existiert.

Betroffen

• SLiMS 9.8.0 (master)
• Früher und später erschienene Versionen: Unbekannt.

Behoben in

Unbekannt. Es wurde kein Herstellerfix oder eine bestätigte korrigierte Version gefunden.

Umgehung

• Den Zugriff auf /admin per IP-Adresse einschränken oder den Bereich hinter ein VPN legen.
• Nicht benötigte Mitarbeiterkonten entfernen und Konten auf das nötige Minimum beschränken.
• Ein Datenbankkonto mit den minimal nötigen Rechten verwenden.
• Ungewöhnliche POST-Anfragen an admin/AJAX_lookup_handler.php, admin/AJAX_check_id.php und admin/AJAX_vocabolary_control.php überwachen.
• Hinweis: Die vom Hersteller vorgeschlagene Korrektur (Whitelist für Tabellen- und Feldnamen) ist eine Code-Änderung und keine Administrator-Einstellung.

Ausnutzung

• Öffentlicher Proof of Concept: ja (Beschreibung eines Dritten).
• CISA SSVC: Exploitation poc, automatisierbar ja, technische Auswirkung total.
• In freier Wildbahn: kein Nachweis gefunden; nicht in CISA KEV gelistet; EPSS unter 1 %.

Unsere Empfehlung

• SLiMS 9.8.0 bis zur Veröffentlichung eines Fixes des Herstellers als ungepatcht behandeln.
• Den Admin-Bereich von SLiMS nicht aus dem Internet erreichbar machen.
• Die Release-Seite von SLiMS und das Herstellerticket auf eine korrigierte Version prüfen und zeitnah aktualisieren.
• Mitarbeiterkonten prüfen und Passwörter zurücksetzen, insbesondere dasjenige des Admins; die offengelegten Hashes gelten als kompromittiert.
• Logs auf ungewöhnliche Anfragen an die Admin-AJAX-Endpunkte überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Primandito/CVE-2026-107081

Quellen der Recherche

• CVE-2026-107081 GitHub write-up github.com
• SLiMS issue #391 (slims9_bulian) github.com
• SLiMS 9 Bulian releases github.com
• OpenCVE CVE-2026-107081 app.opencve.io
• Sploitus PoC entry sploitus.com
• SLiMS news slims.web.id

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:27.