Manacle Multi-tenant ERP System: SQL-Injection im API-Endpunkt
Zusammenfassung
Das Multi-tenant ERP System von Manacle Technologies validiert vom Benutzer gelieferte Eingaben in einem API-Endpunkt nicht ausreichend und parametrisiert sie nicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann manipulierte Eingaben an diesen Endpunkt senden und SQL-Injection-Angriffe gegen das System durchführen. Da das System mehrere Mandanten bedient, können bei erfolgreichem Zugriff auf die Datenbank Daten mehrerer Kunden offengelegt oder verändert werden.
Betroffen
- Manacle Technologies Multi-tenant ERP System, betroffene Versionen vom Hersteller und von CERT-In nicht veröffentlicht (unbekannt)
- Unbekannt.
Behoben in
- Unbekannt. Es wurde keine korrigierte Version veröffentlicht.
Umgehung
- Der Hersteller hat keine spezifische Massnahme für diese CVE veröffentlicht.
- Den Zugriff auf die ERP-API-Endpunkte auf vertrauenswürdige interne Netze oder nur per VPN beschränken.
- Als vorübergehende Massnahme eine Web Application Firewall vor der API platzieren (allgemeine Praxis, nicht vom Hersteller).
Ausnutzung
- Nicht als aktiv ausgenutzt markiert.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS 0.00325 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- Kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
Unsere Empfehlung
- Bei jedem Kunden abfragen, ob dieses Manacle ERP System eingesetzt wird und welche Version läuft.
- Prüfen, ob die ERP-API aus dem Internet erreichbar ist; falls ja, den Zugriff sofort einschränken.
- Beim Hersteller Manacle Technologies eine Korrektur und eine schriftliche Bestätigung der betroffenen Versionen anfordern.
- Das CERT-In-Advisory CIVN-2026-0430 und NVD auf Updates überwachen, da die NVD-Analyse noch ausstehend ist.
- Gleichartige CVEs desselben Herstellers (CVE-2026-107104, CVE-2026-107102, CVE-2026-84147) als verwandte Risiken behandeln und von mehreren schwerwiegenden Schwachstellen im Produkt ausgehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT-In CIVN-2026-0430 www.cert-in.org.in
- Hacker-News/Vendor advisory copy (TeamWin) teamwin.in
- CVE-2026-107103 at Hol.org Guard hol.org
- CVE-2026-107103 at VulDB vuldb.com
- CVE-2026-107103 at Intruder CVE Monitor cvemon.intruder.io
- CVE-2026-107103 at Vulners NVD vulners.com
- CVE-2026-107103 at OpenCVE app.opencve.io
- CVE-2026-84149 analysis (Ionix) www.ionix.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.