Apache Cocoon: SQL-Injection über SQL-Processor und sql/esql-Logicsheets
Zusammenfassung
Apache Cocoon, ein eingestelltes Framework für Web- und XML-Publishing, enthält eine SQL-Injection-Schwachstelle im SQL-Processor sowie in den Logicsheets sql: und esql:. Aufgrund fehlender Eingabebereinigung kann ein Angreifer beliebige SQL-Befehle einschleusen, was zum unberechtigten Lesen oder Ändern der angebundenen Datenbanken führen kann. Da das Projekt eingestellt ist, wird der Hersteller keine Korrektur veröffentlichen, und betroffene Instanzen bleiben verwundbar.
Betroffen
- Apache Cocoon: alle Versionen
- Betroffene Komponente: SQL-Processor und Logicsheets sql:/esql:
- CVSS 3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), gemäss den CVE-Angaben; auf NVD verifizieren
Behoben in
- Keine Korrektur verfügbar. Das Projekt ist eingestellt, und es wird keine korrigierte Version veröffentlicht.
Umgehung
- Eine alternative Lösung oder ein anderes Framework verwenden, wie vom Hersteller empfohlen.
- Den Zugriff auf die Instanz auf vertrauenswürdige Benutzer beschränken.
- Den Wechsel von sql: zu esql: Logicsheets nicht als Massnahme betrachten; die Empfehlung nennt beide.
- Rechte der Datenbankkonten einschränken und Netzwerkverbindungen von Cocoon zur Datenbank begrenzen.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt.
- Laut Drittquellen nicht im CISA-KEV-Katalog; direkt im CISA-KEV-Katalog prüfen.
- Kein öffentlicher Proof of Concept bekannt; nicht vertieft geprüft.
- Die Quellen nennen keine Authentifizierungsanforderungen; der CVSS-Vektor deutet auf niedrige Privilegien (PR:L) hin.
Unsere Empfehlung
- Alle Cocoon-Instanzen inventarisieren, auch alte oder vergessene, und prüfen, ob sie den SQL-Processor oder die Logicsheets sql:/esql: verwenden.
- Migration auf ein gewartetes Framework planen und Datenbankzugriffe mit parametrisierten Abfragen neu umsetzen.
- Bis zur Migration Instanzen hinter VPN oder einem authentifizierten Reverse Proxy isolieren und den Zugriff auf vertrauenswürdige Benutzer beschränken.
- Ungewöhnliche Datenbankfehler und Abfragemuster vom Cocoon-Host protokollieren und alarmieren.
- Aus dem Internet erreichbare Cocoon-Anwendungen mit datenbankgestützten Seiten priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- oss-security: CVE-2026-108087 Apache Cocoon SQL Injection www.openwall.com
- Apache lists thread for CVE-2026-108087 lists.apache.org
- Apache Attic: Cocoon project status attic.apache.org
- Strix CVE record CVE-2026-108087 www.strix.ai
- NVD aggregator record CVE-2026-108087 (vulners) vulners.com
- OpenCVE CVE-2026-108087 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.