TSG Profleet: SQL-Injection über den Parameter von index.php
Zusammenfassung
Eine SQL-Injection-Schwachstelle (CWE-89) in TSG Profleet erlaubt einem Angreifer, Daten in der Datenbank abzurufen, zu erstellen, zu ändern und zu löschen, indem er eine manipulierte GET-Anfrage an den Parameter 'Identificación' von '/cgi-bin/index.php' sendet. Gemäss CVSS-Vektor ist keine Authentifizierung erforderlich, weshalb eine erreichbare Instanz ohne Login angegriffen werden kann. Der CVSS-v4.0-Basiswert von 9.3 stammt von CNA/INCIBE; VulDB nennt 6.3.
Betroffen
- TSG Profleet Version 12.004.01 gemäss INCIBE (ein Spiegel nennt 12.064.01; nicht verifiziert)
- Vollständiger betroffener Versionsbereich: Unbekannt.
Behoben in
- Kein Fix verfügbar. Es wurde noch keine Lösung gemeldet.
Umgehung
- Kein Workaround des Herstellers veröffentlicht.
- Provisorische Massnahmen: Zugriff auf die Weboberfläche auf das Management-Netzwerk oder VPN beschränken, Quell-IP-Adressen einschränken und als Notlösung eine Web Application Firewall mit SQL-Injection-Regeln einsetzen (allgemeine Empfehlung von VulDB).
Ausnutzung
- INCIBE gibt die Ausnutzung als 'Nein' an; die Schwachstelle ist als '0day' markiert.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; CISA SSVC meldet Exploitation: none, Automatable: yes.
- EPSS-Wert 0.00228.
Unsere Empfehlung
- Prüfen, ob Profleet installiert ist und ob die Weboberfläche aus dem Internet oder aus gemeinsam genutzten Netzwerken erreichbar ist; die Internetexposition sofort entfernen.
- Zugriff auf das Management-Netzwerk oder VPN beschränken und Quell-IP-Adressen einschränken.
- Webprotokolle auf ungewöhnliche Anfragen an /cgi-bin/index.php überwachen.
- Datenbank sichern und TSG schriftlich nach einem Patch-Termin fragen.
- Priorität: hoch bei Exposition, mittel bei reiner Nutzung in einem isolierten Management-Netzwerk.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-754 www.incibe.es
- VulDB CVE-2026-111472 vuldb.com
- VulDB vulnerability 421248 vuldb.com
- Positive Technologies PT-2026-115537 (via Vulners) vulners.com
- EUVD-2026-102826 (via Vulners) vulners.com
- Strix CVE record www.strix.ai
- TSG ProFleet LOGmaster product page www.tsg-solutions.com
- TSG fuel management product page www.tsg-solutions.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.