JHipster generator-jhipster: SQL-Injection über sort-Parameter in reaktiven Apps

Zusammenfassung

Der JHipster-Generator erstellt reaktive Webanwendungen mit Spring WebFlux, Spring Data R2DBC und einer SQL-Datenbank. In betroffenen Versionen übergibt der generierte Code den vom Angreifer kontrollierten sort-Parameter von paginierten Listen-Endpunkten ungeprüft und ohne Quoting in die SQL-ORDER-BY-Klausel, und das einfache Abfrageprotokoll von R2DBC akzeptiert mehrere durch Semikolons getrennte Anweisungen. Ein authentifizierter Benutzer mit geringen Rechten, auch einer, der sich über die Standard-Selbstregistrierung angemeldet hat, kann sensible Tabellen (inklusive Passwort-Hashes) lesen, Daten ändern oder löschen oder Tabellen entfernen. Nicht-reaktive JPA-Anwendungen und NoSQL-Backends sind von dieser Ursache nicht betroffen.

Betroffen

• Mit generator-jhipster erstellte Anwendungen ab 7.0.0 bis 9.4.0 (Spring WebFlux, Spring Data R2DBC, SQL-Datenbank)
• Die Quellen widersprechen sich beim Bereich: Die primäre Advisory nennt 7.0.0 bis vor 9.4.0; Mend nennt 9.0.0 bis 9.4.0; PT-2026-108672 nennt 7.0.0 bis 9.2.0. Bis zur Verifikation sind 7.0.0 bis 9.3.x als betroffen zu behandeln.

Behoben in

• Generator-Version 9.4.0 (Fix-Commit f6f1579581da8db0d1b8bd28dd473b56951c83af)
• Bestehende Projekte werden durch ein Upgrade des Generators allein nicht behoben: Der generierte Code muss neu generiert oder manuell korrigiert werden.

Umgehung

Unbekannt.

• Vom Hersteller dokumentierte Workarounds sind nicht bekannt.
• Massnahmen wie Allow-Listing der sort-Werte, Einschränkung der Datenbankrechte oder Blockieren gestapelter Anweisungen sind nicht verifiziert und müssen durch eine Entwicklerin oder einen Entwickler geprüft werden.

Ausnutzung

• In freier Wildbahn: Keine Hinweise gefunden; die CISA-SSVC-Bewertung führt Exploitation als none und Automatisierbarkeit als no. Der KEV-Status wurde nicht direkt geprüft.
• Öffentliches Reproduktionsmaterial existiert in der GitHub-Advisory, daher ist eine Ausnutzung mit geringem Aufwand möglich, sobald ein Konto vorhanden ist.
• EPSS: 0.00341 (Tenable).

Unsere Empfehlung

• Alle mit JHipster generierten Anwendungen und ihre Generator-Version identifizieren (.yo-rc.json oder jhipsterConfig).
• Prüfen, ob Spring WebFlux mit R2DBC und einer SQL-Datenbank verwendet wird.
• Aus dem Internet erreichbare Anwendungen priorisieren, insbesondere solche mit aktivierter Selbstregistrierung.
• Betroffene Anwendungen auf 9.4.0 neu generieren oder patchen und neu ausrollen.
• Datenbank-Logs und Tabellenintegrität seit der Exposition prüfen, da die beschriebenen Lese- und Schreibwirkungen möglich sind.
• Zugangsdaten von Benutzern und Datenbankkonten erneuern, falls eine Kompromittierung nicht ausgeschlossen werden kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-r223-96jv-q533 github.com
• Fix commit f6f1579 (generator-jhipster) github.com
• Release v9.4.0 (generator-jhipster) github.com
• JHipster release 9.4.0 announcement www.jhipster.tech
• OSV advisory GHSA-r223-96jv-q533 osv.dev
• GitLab advisory CVE-2026-107375 (npm generator-jhipster) advisories.gitlab.com
• Tenable CVE-2026-107375 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:12.