Lotus: SQL-Injection über angehängte Statements in benutzerdefinierten Metrik-Abfragen
Zusammenfassung
Lotus, eine Open-Source-Engine für Preisgestaltung und Abrechnung, enthält bis einschliesslich Version 0.10.2 eine SQL-Injection-Schwachstelle (CWE-89). Ein authentifizierter Benutzer einer Organisation kann an benutzerdefinierte Metrik-Abfragen, die an POST /app/metrics/ gesendet werden, weitere SQL-Statements anhängen, da die Validierung nur das erste Statement prüft. Dadurch können Daten aller Mandanten der Instanz gelesen oder verändert werden. Der CNA gibt einen CVSS-v4.0-Basiswert von 8.7 (High) an.
Betroffen
- Lotus (uselotus/lotus) 0 bis 0.10.2 gemäss CNA-Eintrag
- VulDB listet zusätzlich 0.10.0, 0.10.1 und 0.10.2
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.
Umgehung
Unbekannt. Der Hersteller hat keine Gegenmassnahme veröffentlicht. Massnahmen bis zu einer Korrektur:
- Einschränken, wer Konten und Organisationen anlegen darf, und bestehende Konten sowie API-Schlüssel prüfen.
- Die Lotus-Anwendung und ihre Administrationsoberflächen nicht öffentlich erreichbar machen, sondern nur über VPN oder einen Zugriffsproxy.
- Die Datenbankrolle der Anwendung mit minimalen Berechtigungen betreiben.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
- Der Finder hat einen öffentlichen technischen Bericht veröffentlicht; dessen Inhalt wurde nicht überprüft.
- Für die Ausnutzung ist ein gültiges Login nötig, ein Konto mit niedrigen Berechtigungen genügt jedoch.
Unsere Empfehlung
- Prüfen, ob Lotus in Ihrer Umgebung eingesetzt wird, einschliesslich selbst gehosteter Instanzen. Wird Lotus nur über einen gehosteten Dienst genutzt, spielt der Anbieter die Korrektur ein.
- Den Zugriff auf die Lotus-Anwendung und ihre Administrationsoberflächen auf vertrauenswürdige Netze beschränken.
- Konten und API-Schlüssel prüfen und nicht benötigte Benutzer entfernen.
- Datenbankprotokolle und Anfragen an /app/metrics/ auf ungewöhnliche Statements überwachen.
- Ein Update planen, sobald eine korrigierte Version bestätigt ist; das upstream-Repository und den Hersteller direkt prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: Lotus through 0.10.2 SQL Injection via Custom SQL Billable Metrics www.vulncheck.com
- Lotus GitHub repository github.com
- Affected code: billable_metrics.py at tag 0.10.2 github.com
- Finder's technical write-up hackmd.io
- VulDB entry 425273 vuldb.com
- HOL Guard CVE summary CVE-2026-115330 hol.org
- Lotus GitHub releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:44.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.