SLiMS Bulian: SQL-Injection im Reporting-Modul über den Parameter fileID

Zusammenfassung

SENAYAN Library Management System (SLiMS) Bulian 9.8.0 enthält eine SQL-Injection-Schwachstelle in admin/modules/reporting/customs/dl_detail.php. Der Parameter fileID wird ohne Quoting oder Integer-Umwandlung in eine SQL-Abfrage eingefügt; angewendet wird nur escape_string(), was Payloads ohne Anführungszeichen nicht verhindert. Ein öffentlicher Proof of Concept ist vorhanden, und der CVSS-Wert von 9.8 geht davon aus, dass keine Berechtigungen nötig sind; der Forscher beschreibt jedoch einen gültigen Mitarbeiter-Login als Voraussetzung. Ein Angreifer, der den verwundbaren Endpunkt erreicht, könnte Inhalte der Bibliotheksdatenbank lesen, verändern oder löschen.

Betroffen

• SLiMS Bulian (slims9_bulian) 9.8.0
• Komponente: admin/modules/reporting/customs/dl_detail.php (Parameter fileID)
• Hinweis: Der Forscher meldet zusätzlich admin/modules/serial_control/subscription.php (itemID); dies ist unter dieser CVE-ID nicht bestätigt.

Behoben in

Unbekannt. Keine korrigierte Version und kein Herstellerhinweis gefunden.

Umgehung

• Den Zugriff auf den SLiMS-Adminbereich auf interne Netze oder VPN beschränken.
• Eine Web Application Firewall einsetzen, die SQL-Injection-Versuche erkennt und blockiert; dies ist eine Übergangslösung, kein Fix.
• Den vom Melder vorgeschlagenen Fix lokal anwenden: fileID vor der Verwendung in SQL in eine Ganzzahl umwandeln.

Ausnutzung

• Öffentlicher Proof of Concept: ja (Drittanbieter-Repository auf GitHub).
• CISA SSVC: Ausnutzung 'poc', automatisierbar 'yes', technische Auswirkung 'total'.
• Bekanntermassen ausgenutzt (KEV): nein.
• In freier Wildbahn: keine Meldungen gefunden.
• Authentifizierung: umstritten; der NVD-Vektor verlangt keine Berechtigungen, der Forscher nennt einen gültigen Mitarbeiter-Account als Voraussetzung.

Unsere Empfehlung

• Prüfen, ob SLiMS aus dem Internet erreichbar ist, und den Adminbereich auf interne Netze oder VPN beschränken.
• Starke, eindeutige Passwörter für Mitarbeiter-Accounts erzwingen und wo möglich Multi-Faktor-Authentifizierung aktivieren.
• Web- und Datenbanklogs auf ungewöhnliche Anfragen an das Reporting-Modul prüfen.
• Den Herstellerfix sobald verfügbar einspielen und das Upstream-Issue beobachten.
• Die Priorität als hoch einstufen, wenn das System aus dem Internet erreichbar ist oder Mitarbeiter-Passwörter schwach geschützt sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Primandito/CVE-2026-107083

Quellen der Recherche

• GitHub: Primandito/CVE-2026-107083 (write-up and PoC) github.com
• SLiMS issue #393 (upstream report) github.com
• VulnCheck/Vulnrichment (CISA SSVC data) vulners.com
• OpenCVE: CVE-2026-107083 app.opencve.io
• SLiMS 9.8.0 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:25.