Wukong_HRM: Fehlende Autorisierung ermöglicht Zugriff auf alle HR-Daten

Zusammenfassung

Wukong_HRM bis Commit 186115e weist jedem authentifizierten Aufrufer die Rolle des HR-Administrators zu und liefert in den Datenbereichsprüfungen alle Mitarbeitenden zurück. Jede angemeldete Mitarbeitende bzw. jeder angemeldete Mitarbeitender mit einem Konto mit niedrigen Berechtigungen kann Lohnabrechnungen, Lohndaten, Bankkarten und persönliche Daten lesen, Bankkartendaten ändern sowie Mitarbeitende, Abteilungen und Verträge unternehmensweit löschen. Für die Ausnutzung genügt ein gültiges Login, und im CVE-Eintrag sind Proof-of-Concept-Skripte von Forschenden verlinkt.

Betroffen

• WuKongOpenSource Wukong_HRM bis Commit 186115e1a5a0b827ad9596ff8c2f3a876fb0cc55
• Es sind keine Versionsnummern veröffentlicht; der betroffene Bereich ist nur über den Commit-Hash definiert.

Behoben in

Unbekannt. Es wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden.

Umgehung

• Kein vom Hersteller herausgegebener Workaround bekannt.
• Den Zugriff auf die HRM-Instanz auf VPN oder internes Netz beschränken; nicht aus dem Internet erreichbar machen.

Ausnutzung

• Der Angriff erfordert ein gültiges Konto mit niedrigen Berechtigungen (PR:L), keine Benutzerinteraktion.
• Öffentliche Proof-of-Concept-Skripte sind im CVE-Eintrag verlinkt; die Quellen widersprechen sich zum öffentlichen PoC-Status.
• CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein, technische Auswirkung: total.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in der KEV-Liste.

Unsere Empfehlung

• Prüfen, ob Wukong_HRM bis einschliesslich Commit 186115e eingesetzt wird.
• Netzwerkzugriff auf die HRM-Anwendung einschränken und nicht benötigte Mitarbeiterkonten entfernen.
• Auf eine Korrektur des Herstellers achten und sofort aktualisieren, sobald eine verfügbar ist.
• Kürzliche Änderungen an Bankkartendaten, Mitarbeiterdaten, Abteilungen und Verträgen prüfen sowie die Anwendungslogs auf ungewöhnliche Zugriffe kontrollieren.
• Bei festgestelltem unberechtigtem Zugriff die Meldepflichten nach dem revidierten Schweizer DSG und gegebenenfalls der DSGVO prüfen und Rechtsberatung beiziehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Vulnerable code: EmployeeAspect.java github.com
• Vulnerable code: EmployeeUtil.java github.com
• PoC script: payroll, card and social security github.com
• PoC script: salary archives and history github.com
• VulDB entry vuldb.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:05.