YS-infoware BA-Workflow: SQL-Injection
Zusammenfassung
BA-Workflow, eine Workflow-Formularplattform von YS-infoware, enthält eine SQL-Injection-Schwachstelle (CWE-89) mit dem Schweregrad Hoch. Ein authentifizierter Angreifer mit einem gültigen, niedrig privilegierten Konto kann beliebige SQL-Anweisungen einschleusen und so Datenbankinhalte lesen, ändern und löschen. Eine öffentliche Ausnutzung oder eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- BA-Workflow-Versionen vor v3.6.2.7
- Verwandte CVEs CVE-2026-113405 und CVE-2026-113406 haben eine andere Schwelle (vor v3.6) und sind mit demselben Fix abgedeckt
Behoben in
- Aktualisierung auf BA-Workflow v3.6.2.7 oder neuer
Umgehung
- Kein Workaround des Herstellers bekannt.
- Das Datenbankkonto, das BA-Workflow verwendet, auf die minimal nötigen Berechtigungen beschränken (generische Empfehlung, kein Hersteller-Fix).
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
- Nicht in der CISA-KEV-Liste.
- Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- BA-Workflow so rasch wie möglich auf v3.6.2.7 oder neuer aktualisieren, sofern das Produkt im Einsatz ist.
- Prüfen, ob die BA-Workflow-Instanz von aussen erreichbar ist, und kontrollieren, welche Konten existieren, einschliesslich nicht genutzter.
- Das Datenbankkonto der Anwendung auf die minimal nötigen Berechtigungen beschränken.
- Datenbankprotokolle bis zur Aktualisierung auf verdächtige SQL-Abfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TWCERT/CC advisory (English) www.twcert.org.tw
- TWCERT/CC advisory (Chinese) www.twcert.org.tw
- OpenCVE CVE-2026-113407 app.opencve.io
- VulDB CVE-2026-113407 vuldb.com
- VulDB vulnerability 422690 vuldb.com
- Vulners CNNVD aggregation vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.