NetBoard CRM Demo Platform: SQL-Injection im Parameter user-name von recovery.php
Zusammenfassung
Die NetBoard CRM Demo-Plattform enthält eine SQL-Injection-Schwachstelle im POST-Parameter 'user-name' des Endpunkts /module/auth/recovery.php. Der Endpunkt ist ohne Anmeldung erreichbar, und die Schwachstelle erlaubt Blind-, fehlerbasierte, zeitbasierte und UNION-basierte Angriffe. Ein Angreifer kann vertrauliche Daten wie die Version und den Typ des Datenbanksystems auslesen, Daten verändern oder die CRM-Umgebung weiter kompromittieren. Der CVSS-v4.0-Basiswert der CNA beträgt 10.0 (kritisch), während VulDB die Schwachstelle mit 6.3 bewertet.
Betroffen
- NetBoard CRM Demo Platform, neueste Demo-Version (November 2025) gemäss INCIBE
- Betroffener Bereich laut CNA-Eintrag: Versionen vor 08/10/2026 (datumsbasiert, keine Versionsnummern veröffentlicht)
- Produktivversionen: Unbekannt.
Behoben in
- Unbekannt. Bisher wurde keine Lösung gemeldet.
Umgehung
- Keine vom Hersteller oder der CNA veröffentlicht.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert (CISA KEV: Nein).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Die Demo-Instanz offline nehmen oder aus jedem aus dem Internet erreichbaren oder nicht vertrauenswürdigen Netzwerk entfernen.
- Falls sie laufen muss, den Zugriff auf vertrauenswürdige IP-Adressen beschränken und eine Web Application Firewall davorschalten.
- Die Instanz erst wieder verbinden, wenn der Hersteller eine Korrektur für recovery.php bestätigt.
- Prüfen, ob eine Produktiv-CRM denselben Code verwendet und ob sie aus dem Internet erreichbar ist.
- Logs auf ungewöhnliche Anfragen an /module/auth/recovery.php prüfen; Blind- und zeitbasierte Angriffe hinterlassen unter Umständen wenige Fehlermeldungen.
- Beim Hersteller nachfragen, ob Produktivversionen betroffen sind und wann eine Korrektur verfügbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-719 www.incibe.es
- VulDB entry CVE-2026-12260 vuldb.com
- HOL Guard CVE-2026-12260 hol.org
- Strix CVE-2026-12260 www.strix.ai
- ThreatInt CVE-2026-12260 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.