SLiMS 9 Bulian: Cross-Site Request Forgery in der Ausleihverlauf-Wartung

Zusammenfassung

Senayan Library Management System (SLiMS) 9 Bulian 9.8.0 ist anfällig für Cross-Site Request Forgery auf der Wartungsseite des Ausleihverlaufs. Der GET-Parameter action=run führt destruktive Operationen aus, unter anderem das Leeren der Tabelle loan_history, ohne CSRF-Token oder POST-Bestätigung. Ein Angreifer kann Verlust von Ausleihverlaufsdaten verursachen, indem er einen angemeldeten Administrator dazu bringt, einen präparierten Link zu öffnen.

Betroffen

• SLiMS 9 Bulian 9.8.0 (master)
• Komponente: admin/modules/circulation/loan_history_maintenance.php
• Frühere Versionen: Unbekannt.

Behoben in

Unbekannt. Es ist keine offizielle korrigierte Version bestätigt.

Umgehung

• Sichern Sie die Daten der Tabelle loan_history vor jeder Änderung, damit ein Leeren rückgängig gemacht werden kann.
• Beschränken Sie den Zugriff auf den Administrationsbereich und begrenzen Sie Administratorkonten auf die nötigen Mitarbeitenden.
• Melden Sie sich bei SLiMS ab, wenn Sie es nicht benutzen, und öffnen Sie keine unbekannten Links, während Sie angemeldet sind.
• Ein inoffizieller Fork-Patch (awankumay/slims9_bulian PR #2) existiert, ist aber kein offizielles Release und muss regressionsgetestet werden.

Ausnutzung

• Ein öffentlicher Proof-of-Concept und eine Beschreibung sind verfügbar.
• CISA SSVC: Exploitation poc, Automatable no, Technical Impact total.
• Nicht in der CISA KEV gelistet; keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Sichern Sie jetzt die SLiMS-Datenbank einschliesslich loan_history.
• Prüfen Sie, ob der SLiMS-Administrationsbereich aus dem Internet erreichbar ist, und beschränken Sie den Zugriff gegebenenfalls.
• Begrenzen Sie Administratorkonten und weisen Sie Administratorinnen und Administratoren darauf hin, während der Anmeldung keine unbekannten Links zu öffnen.
• Verfolgen Sie das Upstream-Issue auf eine offizielle Korrektur und spielen Sie diese zeitnah ein; testen Sie jeden Patch vorher.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Primandito/CVE-2026-107084

Quellen der Recherche

• Public write-up (Primandito) github.com
• Original report, SLiMS issue #394 github.com
• OpenCVE record app.opencve.io
• SLiMS releases github.com
• Unofficial fork patch PR #2 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:46.