Manacle Technologies Multi-tenant ERP System: Kontoübernahme über Payment-Callback-API

Zusammenfassung

Eine Schwachstelle in der Payment-Callback-API des Manacle Multi-tenant ERP System besteht, weil Parameter von Payment-Callbacks ungenügend geprüft und die Authentifizierungskontrollen unzureichend sind. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen Parameter so manipulieren, dass die Anwendung eine authentifizierte Sitzung für einen beliebigen Benutzer erstellt, ohne dass eine gültige Zahlungsprüfung erfolgt. Bei erfolgreicher Ausnutzung kann der Angreifer die Authentifizierung umgehen und sich unberechtigten Zugriff auf andere Benutzerkonten verschaffen. Der CVSS-4.0-Basiswert beträgt 9.3 (kritisch), die betroffenen Versionen und der Patch-Status des Herstellers sind jedoch noch nicht bestätigt.

Betroffen

• Manacle Technologies Multi-tenant ERP System, betroffene Version: Unbekannt (die Quellen nennen nur einen generischen Platzhalter)

Behoben in

Unbekannt. In den geprüften Quellen hat der Hersteller noch keine korrigierte Version veröffentlicht. Manacle Technologies für die korrigierte Version kontaktieren.

Umgehung

• Zugriff auf den Payment-Callback-API-Endpunkt bis zur Installation eines Patches sperren oder einschränken (generische Empfehlung eines Aggregators, nicht vom Hersteller bestätigt).
• Den Callback-Endpunkt auf die IP-Bereiche des Zahlungsdienstleisters an der Firewall oder am Reverse Proxy beschränken.
• Direkte Internetexposition der ERP-Administrations- und API-Schnittstellen entfernen.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Unbekannt. Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC (Vulnrichment): Exploitation none, Automatable yes, Technical Impact total.
• Öffentlicher Proof of Concept: In den geprüften Recherchen nicht gefunden, was nicht belegt, dass keiner existiert.
• EPSS: 0.00255 (Vulners). VulDB stuft die Aktivität als sehr gering ein.

Unsere Empfehlung

• Prüfen, ob Kunden Manacle ERP einsetzen und ob es aus dem Internet erreichbar ist.
• Bei Manacle Technologies betroffene Versionen, einen Patch und die Frage anfragen, ob der Callback-Endpunkt in einer Standardinstallation exponiert ist.
• Den Payment-Callback-Endpunkt jetzt einschränken und die Logs auf Callback-Anfragen und Sitzungen für andere Benutzer prüfen.
• Den vollständigen Text des CERT-In-Advisories CIVN-2026-0430 beschaffen, um die Aufnahme dieser CVE zu bestätigen und die weiteren Manacle-Schwachstellen derselben Sammlung zu prüfen, darunter ein exponiertes .git-Verzeichnis (CVE-2026-84149).
• Den NVD-Status und den CVSS-Wert direkt bei der Quelle prüfen, da die Quellen abweichen (VulDB 7.3, Vulners 6.2).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CERT-In advisory CIVN-2026-0430 www.cert-in.org.in
• TeamWin: CIVN-2026-0430 Manacle Technologies ERP System teamwin.in
• VulDB CVE-2026-107102 vuldb.com
• OpenCVE CVE-2026-107102 app.opencve.io
• Vulners CVE-2026-107102 vulners.com
• Manacle ERP product page www.facebook.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:07.