SLiMS 9 Bulian: SQL-Injection im Admin-Bibliografiemodul

Zusammenfassung

SLiMS 9 Bulian 9.8.0 enthält im Admin-Bibliografiemodul eine SQL-Injection über die GET-Parameter opac_hide und promoted. Die Werte werden nur escaped, nicht validiert, und unquoted in einen numerischen SQL-Kontext eingefügt, weshalb das Escaping keinen Schutz bietet. Ein authentifizierter Mitarbeitender mit beliebiger Rolle kann über fehlerbasierte und UNION-basierte Abfragen Datenbankinhalte auslesen, was auch personenbezogene Daten von Benutzenden betreffen kann.

Betroffen

• SLiMS 9.8.0 (master), gemäss Meldung
• Andere Versionen: Unbekannt.

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung ist keine korrigierte Version veröffentlicht.

Umgehung

• Den Zugriff auf das Admin-Panel (admin/) auf Verwaltungsarbeitsplätze oder ein VPN beschränken.
• Nicht benötigte Mitarbeiterkonten entfernen und das Least-Privilege-Prinzip für Mitarbeiterrollen durchsetzen.
• Das Datenbankkonto mit minimalen Rechten betreiben und ausführliche Datenbank-Fehlermeldungen deaktivieren.

Ausnutzung

• Öffentlicher Proof of Concept verfügbar (GitHub-Beschreibung, CISA SSVC: Exploitation poc, Automatable no).
• Ausnutzung in freier Wildbahn: Unbekannt.
• Ein gültiger Mitarbeiter-Login ist erforderlich; Angriffsvektor ist das Netzwerk.

Unsere Empfehlung

• Prüfen, ob eine SLiMS-9.8.0-Instanz existiert und ob das Admin-Panel aus dem Internet erreichbar ist; bei Erreichbarkeit den Zugriff einschränken.
• Die Zugriffsbeschränkungen und die Verwaltung der Mitarbeiterkonten jetzt umsetzen.
• Das Herstellerticket und die Releases auf eine Korrektur überwachen, danach aktualisieren und prüfen.
• Datenbank- und Webserver-Logs auf XPATH-Syntaxfehler oder ungewöhnliche Admin-Anfragen mit den Parametern opac_hide oder promoted prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Primandito/CVE-2026-107082

Quellen der Recherche

• Primandito/CVE-2026-107082 write-up github.com
• slims/slims9_bulian issue #392 github.com
• OpenCVE CVE-2026-107082 app.opencve.io
• VulDB 422437 vuldb.com
• SLiMS 9 Bulian releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:50.