YS-infoware BA-Workflow: SQL-Injection in der Workflow-Formularplattform
Zusammenfassung
BA-Workflow, eine Workflow- und Formularplattform von YS-infoware, enthält eine SQL-Injection-Schwachstelle, die durch Parameter-Injection entsteht. Ein authentifizierter Angreifer mit Standardrechten (nicht Administrator) kann beliebige SQL-Anweisungen ausführen, um Datenbankinhalte zu lesen, zu ändern und zu löschen. TWCERT bewertet die Schwachstelle mit CVSS 4.0 8.7 (hoch), VulDB mit 6.3. Als Behebung wird ein Update auf Version v3.6.2.7 oder neuer genannt.
Betroffen
- YS-infoware BA-Workflow Versionen vor 3.6 (offizieller CVE-Eintrag und TWCERT)
- Widersprüchliche Angaben: OpenCVE listet alle Versionen vor v3.6.2.7 als betroffen. Die genaue Grenze ist nicht bestätigt.
Behoben in
- Update auf BA-Workflow v3.6.2.7 oder neuer (gemäss TWCERT/CC-Advisory TVN-202610007).
- Es wurden keine Patch-Notes des Herstellers gefunden, daher lässt sich der Inhalt der Version nicht bestätigen.
Umgehung
Unbekannt. Die Quellen nennen keine temporäre Massnahme.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht in der KEV-Liste (gemäss Strix).
- Öffentlicher Proof of Concept: keiner gefunden.
- VulDB zeigt einen nicht definierten Status und ein Label '0-Day' ohne Erklärung, daher lässt sich der Ausnutzungsstatus daraus nicht bestätigen.
Unsere Empfehlung
- Prüfen, ob BA-Workflow im Einsatz ist und welche Version läuft; Versionen unter v3.6.2.7 haben hohe Priorität.
- Zuerst die Exposition prüfen: Zugriff auf die Anwendung auf benötigte Benutzer und Netzwerke beschränken und sie nicht direkt aus dem Internet erreichbar machen.
- Nicht benötigte Konten entfernen und Konten mit niedrigen Rechten auf Kompromittierung prüfen.
- Datenbank-Logs auf ungewöhnliche oder fehlerhafte Abfragen überwachen.
- Update auf v3.6.2.7 oder neuer planen und die installierte Version anschliessend überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TWCERT/CC advisory TVN-202610007 (English) www.twcert.org.tw
- TWCERT/CC advisory (Chinese) www.twcert.org.tw
- CHT Security advisory: SQL injection in workflow form platform www.chtsecurity.com
- CHT Security advisory: affected scope and remediation www.chtsecurity.com
- OpenCVE record CVE-2026-113406 app.opencve.io
- VulDB entry 422689 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.