BeeS ERP: Fehlende Autorisierung ermöglicht Zugriff auf die Verwaltungskonsole
Zusammenfassung
BeeS Software Solutions ERP vor dem 04. September 2026 prüft die Autorisierung am Endpunkt des Verwaltungs-Dashboards nicht. Jeder Benutzer mit niedrigen Berechtigungen kann diesen Endpunkt direkt aufrufen und so auf die Verwaltungskonsole zugreifen. Die Konsole gewährt Zugriff auf Daten von Institutionen, Mitarbeitenden und Studierenden. Der CVE-Eintrag beschreibt dies als Insecure Direct Object Reference (IDOR) und nennt CWE-639 und CWE-862. Der CVSS-4.0-Basiswert beträgt 7.1 (hoch).
Betroffen
- BeeS Software Solutions ERP vor dem 2026-09-04 (gemäss CVE-Eintrag)
- Genaue Versionsnummern: Unbekannt.
- Betroffene Produktlinie: Unbekannt. Die Recherchenotizen deuten auf eine ERP-Lösung für Bildungseinrichtungen hin, dies ist jedoch nicht bestätigt.
Behoben in
- Behoben ab dem 2026-09-04 gemäss CVE-Eintrag.
- Genaue Nummer des behobenen Builds: Unbekannt. Diese bei BeeS anfordern.
Umgehung
- Workaround des Herstellers: Unbekannt.
- Übergangsmassnahmen (nicht vom Hersteller): Zugriff auf Admin-Pfade per IP-Adresse oder VPN am Reverse Proxy oder an der Firewall einschränken.
- Prüfen, welche Konten Zugriff auf Admin-Funktionen haben.
- Webprotokolle auf Konten ohne Admin-Rechte prüfen, die Admin-URLs aufrufen.
Ausnutzung
- Stand 10. November 2026 wurden keine Hinweise auf Ausnutzung gefunden (Daten eines Drittanbieter-Aggregators).
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Exploit in Metasploit oder Exploit-DB gefunden.
- Die CVE wurde am 10. November 2026 veröffentlicht, daher kann sich dieser Status rasch ändern.
Unsere Empfehlung
- Prüfen, ob BeeS ERP im Einsatz ist, und die Produktlinie identifizieren.
- Prüfen, ob das Admin-Portal aus dem Internet erreichbar ist.
- Admin-Pfade auf vertrauenswürdige Netze oder VPN beschränken.
- Prüfen, welche Logins (inklusive Studierende und externe Mitarbeitende) das System erreichen können.
- Den behobenen Build bei BeeS anfordern und das CISA-CSAF-Dokument va-26-313-04 lesen.
- Protokolle auf Zugriffe von Konten ohne Admin-Rechte auf Admin-URLs überwachen und KEV sowie Exploit-Quellen in den kommenden Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-126123 www.cve.org
- CISA CSAF document va-26-313-04 raw.githubusercontent.com
- CERT/CC VU#361400 (BeeS vendor track record) kb.cert.org
- OffSeq Radar threat entry (third-party aggregator) radar.offseq.com
- Strix CVE entry CVE-2026-126123 www.strix.ai
- BeeS Cloudilya about page (vendor) cloudilyaerp.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.