databasement: Remote Code Execution durch Argument-Injection im Datenbanknamen

Zusammenfassung

databasement ist ein selbst gehostetes Backup-Verwaltungswerkzeug für Datenbanken mit Weboberfläche. Die Versionen 1.0.0 bis 1.8.1 übergeben den Datenbanknamen ohne ausreichende Trennung an mariadb-dump, sodass ein authentifizierter Benutzer zusätzliche Dump-Optionen einschleusen kann. Dies ermöglicht ein beliebiges Schreiben von Dateien, zum Beispiel in eine web-ausgelieferte PHP-Datei, und führt so zu Remote Code Execution.

Betroffen

• databasement 1.0.0 bis und mit 1.8.1
• Quelle: GitHub-Advisory GHSA-hm57-pvxc-4pcm und CVE-Eintrag

Behoben in

• Auf databasement 1.8.2 oder neuer aktualisieren
• Fix-Commits: 22258e3eac594e653f9d04a69d93e83923d61499 und 2d2761905594a2fa2c3d81d48a7c8b6a1784862c
• Unbekannt: ob 1.8.2 auch die ähnlichen Pfade für den PostgreSQL-Dump und die Wiederherstellung behebt; beim Hersteller prüfen.

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenlösung gefunden.
• Bis zur Behebung den Zugriff auf die Weboberfläche auf vertrauenswürdige Netzwerke oder VPN beschränken.
• Nicht benötigte Benutzerkonten entfernen.
• Sicherstellen, dass das Web-Root-Verzeichnis für den Applikationsbenutzer nicht beschreibbar ist.

Ausnutzung

• Erfordert ein authentifiziertes Benutzerkonto.
• CVSS 8.8 (v3.1), CWE-88.
• CISA SSVC: Exploitation-Status poc, automatisierbar: nein, technische Auswirkung: total.
• Kein öffentlicher Exploit laut VulDB; keine bekannte Ausnutzung in freier Wildbahn.
• Die Verfügbarkeit eines Exploits ist unbestätigt: Ein Bericht von Positive Technologies (PT-2026-110344) existiert, sein Inhalt wurde jedoch nicht geprüft.

Unsere Empfehlung

• Auf databasement 1.8.2 oder neuer aktualisieren.
• Prüfen, ob die Weboberfläche aus nicht vertrauenswürdigen Netzwerken erreichbar ist, und diesen Zugriff gegebenenfalls einschränken.
• Benutzerkonten überprüfen und nicht benötigte entfernen.
• Prüfen, ob das Web-Root-Verzeichnis für den Applikationsbenutzer nicht beschreibbar ist.
• Auf unerwartete Dateiänderungen im Web-Root-Verzeichnis achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-hm57-pvxc-4pcm github.com
• Fix commit 2d2761905594a2fa2c3d81d48a7c8b6a1784862c github.com
• Fix commit 22258e3eac594e653f9d04a69d93e83923d61499 github.com
• VulDB entry 416790 vuldb.com
• OSV entry CVE-2026-108963 osv.dev
• Vulnerable source file MysqlDatabase.php github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:33.