PHPNuxBill: Unauthentifizierte SQL-Injection in radius.php

Zusammenfassung

PHPNuxBill, ein PHP-basiertes Abrechnungssystem für MikroTik-Hotspot- und PPPoE-Dienste, enthält in dem FreeRADIUS-REST-Endpunkt radius.php eine unauthentifizierte SQL-Injection-Schwachstelle. Manipulierte Parameter username, macAddr oder nasid, die an die Aktionen accounting oder authenticate gesendet werden, werden in Datenbankabfragen eingesetzt. Ein entfernter Angreifer kann mittels zeitbasierter Blind-SQL-Injection Kundendaten und Zugangsdaten extrahieren, ohne sich anmelden zu müssen.

Betroffen

• PHPNuxBill 0 bis 2025.3.20 (gemäss CVE-Eintrag)
• Versionen nach 2025.3.20 werden vom CNA als nicht betroffen aufgeführt

Behoben in

Unbekannt. Ein Commit mit dem Titel "Fix SQL Injection inside radius.php" existiert im Development-Branch, doch eine veröffentlichte, korrigierte Version ist nicht bestätigt. Die korrigierte Version im Herstellerhinweis GHSA-q8ch-r8cv-q579 prüfen.

Umgehung

• Externen Zugriff auf radius.php auf Webserver- oder Firewall-Ebene blockieren
• Nur die MikroTik- und FreeRADIUS-Quellen zum Endpunkt zulassen, sofern betrieblich machbar
• Sicherstellen, dass das von der Anwendung verwendete Datenbankkonto nur die minimal nötigen Rechte besitzt

Ausnutzung

• Vor der Authentifizierung und aus der Ferne ausnutzbar; keine Benutzerinteraktion nötig
• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: ja, technische Auswirkung: total
• Laut einem Drittanbieter-Tracker nicht im CISA KEV gelistet
• EPSS etwa 0.004
• Öffentlicher Proof of Concept: unbekannt
• Ausnutzung in freier Wildbahn: keine Hinweise gefunden

Unsere Empfehlung

• Alle PHPNuxBill-Instanzen und deren Versionen erfassen; Versionen bis 2025.3.20 als verwundbar behandeln
• Prüfen, ob radius.php aus dem Internet erreichbar ist, und den Zugriff bei Erreichbarkeit sofort einschränken
• Den Herstellerhinweis auf eine bestätigte korrigierte Version überwachen und nach Verfügbarkeit aktualisieren
• Falls die Instanz erreichbar war, Passwort-Zurücksetzungen für Kunden- und Administratorkonten planen und Datenbank-Zugangsdaten rotieren
• Web- und Datenbanklogs auf ungewöhnliche radius.php-Anfragen und auffällige Abfragezeiten prüfen; bei Hinweisen den Server als kompromittiert betrachten
• Zusätzlich die verwandten Schwachstellen CVE-2026-108108 und CVE-2026-108109 im selben Produkt prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-q8ch-r8cv-q579 github.com
• VulnCheck advisory www.vulncheck.com
• radius.php at 2025.3.13 github.com
• PHPNuxBill GitHub repository github.com
• Vulners entry (CVSS, EPSS) vulners.com
• VulDB entry vuldb.com
• Fix commit pull request #453 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:43.