Lotus: SQL-Injection über Namen von Abrechnungsmetriken und Filter

Zusammenfassung

Lotus bis einschliesslich 0.10.2, eine Open-Source-Plattform für Preismodelle und Abrechnung, maskiert Eigenschaftsnamen von Abrechnungsmetriken und kategoriale Filterwerte in den per Jinja erzeugten Abfragen für Counter-, Gauge- und Rate-Metriken nicht korrekt. Ein authentifizierter Benutzer einer Organisation kann über manipulierte Werte SQL einschleusen und so auf die Datenbank zugreifen, die von allen Mandanten gemeinsam genutzt wird. Der CNA bewertet die Schwachstelle mit CVSS v4.0 8.7 (hoch) und sieht eine automatisierbare Ausnutzung über das Netzwerk mit niedrigen Berechtigungen und ohne Benutzerinteraktion.

Betroffen

• Lotus (uselotus/lotus) Versionen 0.10.0 bis einschliesslich 0.10.2 (gemäss VulnCheck; VulDB nennt 0.10.0, 0.10.1 und 0.10.2)

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde kein korrigiertes Release gefunden.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

Ausnutzung

• Es wurde kein Nachweis einer bekannten Ausnutzung (KEV/ITW) gefunden.
• Öffentlicher Proof of Concept: nicht bestätigt; VulDB meldet keinen verfügbaren Exploit.
• CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar.
• Verwandte SQL-Injection-Schwachstellen im selben Produkt (CVE-2026-115330, CVE-2026-115332) wurden vom gleichen Forscher gemeldet.

Unsere Empfehlung

• Prüfen, ob Lotus in Version 0.10.2 oder älter irgendwo eingesetzt wird (Quellcode, Container-Images, Deployment-Manifeste).
• Falls Lotus im Einsatz ist, diese Schwachstelle wegen der mandantenübergreifenden Auswirkung als hohe Priorität behandeln.
• Festlegen, wer Organisationskonten erhalten kann, und die Anwendung hinter einer Zugriffskontrolle betreiben.
• Das Datenbankkonto mit minimalen Berechtigungen betreiben.
• Upstream-Projekt und Hersteller auf eine Korrektur überwachen und diese nach Veröffentlichung zeitnah einspielen; Änderungen zuerst in einer Testumgebung prüfen.
• Die verwandten Schwachstellen CVE-2026-115330 und CVE-2026-115332 zusammen mit dieser beurteilen.
• Falls Lotus nicht im Einsatz ist, ist keine Massnahme nötig, ausser dies zu bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Lotus through 0.10.2 SQL Injection www.vulncheck.com
• Researcher write-up (HackMD) hackmd.io
• Lotus GitHub repository github.com
• counter_query_templates.py at 0.10.2 github.com
• VulDB entry 425284 vuldb.com
• HOL Guard CVE-2026-115331 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:45.