Radius Xenia M2M Platform: SQL-Injection in der Passwort-Wiederherstellung
Zusammenfassung
Die Web-Verwaltungsoberfläche der Radius Xenia M2M Platform validiert Benutzereingaben in der Passwort-Wiederherstellung nicht ausreichend. Ein nicht authentifizierter Angreifer kann über Eingabefelder manipulierte SQL-Abfragen senden. Eine erfolgreiche Ausnutzung könnte den Zugriff auf sensible Informationen, die Aufzählung der Datenbankstruktur oder die Änderung von Datenbankeinträgen ermöglichen.
Betroffen
- Radius Synergies Radius Xenia M2M Platform, betroffene Versionen unbekannt
- Widersprüchliche Angaben zum Standardstatus: Der CERT-In-Eintrag führt das Produkt standardmässig als nicht betroffen, ThreatInt als nicht betroffen mit benutzerdefinierter betroffener Version
Behoben in
- Unbekannt. Es wurde keine korrigierte Version identifiziert.
Umgehung
- Keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden.
- Allgemeine Massnahme laut VulDB: Eingabevalidierung im Passwort-Wiederherstellungsmodul korrigieren und serverseitige Bereinigung ergänzen (keine Herstellerkorrektur).
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt.
- Öffentlicher Exploit: laut VulDB keiner bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Der Angriff erfordert keine Authentifizierung, nur Netzwerkzugriff auf die Web-Verwaltungsoberfläche.
Unsere Empfehlung
- Prüfen, ob eine Radius-Xenia-Instanz eine Web-Verwaltungsoberfläche besitzt, die aus dem Internet oder von Dritten erreichbar ist; bis die betroffenen Versionen bestätigt sind, hohe Priorität behandeln.
- Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige Netze oder ein VPN beschränken.
- Radius Synergies um eine Sicherheitsmitteilung, betroffene Versionen und den Patch-Status bitten.
- Die CERT-In-Mitteilung CIVN-2026-0529 prüfen und NVD sowie den CISA-KEV-Katalog auf Aktualisierungen überwachen.
- Web- und Datenbankprotokolle auf ungewöhnliche Eingaben im Formular zur Passwort-Wiederherstellung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT-In advisory CIVN-2026-0529 www.cert-in.org.in
- VulDB CVE-2026-114358 vuldb.com
- VulDB vulnerability 428327 vuldb.com
- OffSeq Radar CVE-2026-114358 radar.offseq.com
- Strix CVE-2026-114358 www.strix.ai
- ThreatInt CVE-2026-114358 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.