IceCMS: Unauthentifizierte SQL-Injection im Endpunkt /WebArticle/findarticlesbynum

Zusammenfassung

IceCMS bis Version 4.1.5 enthält eine SQL-Injection-Schwachstelle im Pfadparameter num von /WebArticle/findarticlesbynum. Die Eingabe wird ohne Bereinigung nach der LIMIT-Klausel in einen MyBatis-Plus QueryWrapper eingefügt. Ein entfernter, nicht authentifizierter Angreifer kann eigenen SQL-Code anhängen und so Datenbankinhalte mittels Union-basierter oder Blind-Techniken auslesen. Jede aus dem Internet erreichbare IceCMS-Instanz ist betroffen.

Betroffen

• IceCMS 0 bis 4.1.5 (gemäss Angaben der CNA)
• Betroffener Endpunkt: /WebArticle/findarticlesbynum, Parameter num

Behoben in

Unbekannt. Es ist kein Advisory oder Patch des Herstellers bestätigt. Eine Drittquelle nennt Version 4.1.6, dies ist jedoch vom Hersteller nicht verifiziert.

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Zugriff auf /WebArticle/* am Reverse Proxy oder WAF einschränken oder blockieren, falls der Endpunkt öffentlich nicht benötigt wird. Eine WAF-Regel ist nur eine Übergangslösung und kann umgangen werden.
• Das von IceCMS verwendete Datenbankkonto mit minimalen Berechtigungen betreiben.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden. CISA SSVC bewertet die Ausnutzung als none, und der KEV-Status ist No.
• Im CVE-Eintrag sind öffentliche Beschreibungen der Technik referenziert, daher ist von einer öffentlich bekannten Methode auszugehen.

Unsere Empfehlung

• Prüfen, ob IceCMS im Einsatz ist und ob es aus dem Internet erreichbar ist.
• Zugriff auf den betroffenen Endpunkt sofort einschränken und Datenbankberechtigungen begrenzen.
• Webserver-Logs auf Anfragen an /WebArticle/findarticlesbynum mit ungewöhnlichen num-Werten prüfen.
• Upgrade durchführen, sobald der Hersteller eine korrigierte Version bestätigt. Ist kein Fix verfügbar, die Instanz vom Netz nehmen oder auf das interne Netz beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Thecosy IceCMS repository github.com
• Vulnerable code in WebArticleController.java github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• VulDB CVE-2026-111686 vuldb.com
• Vulners (Mend) CVE-2026-111686 vulners.com
• Strix.ai CVE-2026-111686 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:14.