Lotus: SQL-Injection über Filterschlüssel von Abonnements

Zusammenfassung

Lotus, eine Open-Source-Plattform für Preisgestaltung und Abrechnung, enthält eine SQL-Injection-Schwachstelle (CWE-89) bei der Validierung von Filterschlüsseln für Abonnements. Ein authentifizierter Benutzer einer Organisation kann manipulierte Filterschlüssel registrieren, die die reine Schlüsselwort-Validierung umgehen und ohne Anführungszeichen in Aggregationsabfragen für die Nutzung eingefügt werden. Ein Angreifer kann Daten in der über alle Mandanten geteilten Datenbank lesen oder manipulieren, was auch andere Mandanten betreffen kann. Die CNA stuft das Problem mit CVSS 4.0 8.7 (hoch) ein; NVD hat noch keine eigene Bewertung veröffentlicht.

Betroffen

• Uselotus Lotus bis und mit Version 0.10.2

Behoben in

Unbekannt. In den Quellen ist keine korrigierte Version aufgeführt. Prüfen Sie das Repository auf neuere Releases.

Umgehung

• Keine vom Hersteller veröffentlichte Workaround-Massnahme.
• Beschränken Sie, wer sich selbst registrieren oder Organisationen beitreten kann.
• Prüfen Sie Abonnementdatensätze auf ungewöhnliche Filterschlüssel.
• Beschränken Sie die Datenbankrechte des Anwendungskontos und halten Sie die Datenbank von externen Netzwerken fern.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gemeldet; nicht im CISA-KEV-Katalog aufgeführt.
• Die CISA-SSVC-Bewertung im CNA-Eintrag führt die Ausnutzung als 'poc' (Proof of Concept) und die Automatisierbarkeit als 'no'.
• In den Recherchequellen wurde kein öffentlicher Exploit-Code bestätigt.

Unsere Empfehlung

• Erfassen Sie alle Lotus-Instanzen, einschliesslich selbst betriebener, und deren genaue Versionen.
• Behandeln Sie Version 0.10.2 und frühere mit hoher Priorität, insbesondere bei offener Registrierung oder Internetexposition.
• Spielen Sie den Herstellerfix ein, sobald er verfügbar ist, und überwachen Sie das Repository auf neue Releases.
• Setzen Sie die oben genannten Workarounds bereits jetzt um.
• Prüfen Sie die verwandten CVEs dieses Produkts gemeinsam.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Lotus through 0.10.2 SQL injection via subscription filter keys www.vulncheck.com
• Lotus GitHub repository github.com
• Vulnerable code at tag 0.10.2 (model_serializers.py) github.com
• Researcher write-up (HackMD) hackmd.io
• VulDB entry 425285 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:45.