Integratec application: SQL-Injection über sInfo-Parameter im Login
Zusammenfassung
Die Integratec application, eine Plattform für Talent- und Personalmanagement, enthält eine UNION-basierte SQL-Injection im POST-Parameter sInfo des Endpunkts /login/ap_Login.aspx/start. Ein Angreifer, der diesen Endpunkt über das Netzwerk erreichen kann, kann manipulierte Anfragen ohne Anmeldedaten und ohne Benutzerinteraktion senden; dies kann den Diebstahl gespeicherter Daten wie Zugangsdaten und Benutzerinformationen, eine teilweise Dienstverweigerung und Folgeangriffe wie Privilege Escalation ermöglichen. Der CNA listet alle Versionen als betroffen, und zum Zeitpunkt der Veröffentlichung war kein Herstellerpatch verfügbar.
Betroffen
- Integratec application, alle Versionen gemäss CNA-Eintrag (keine versionsspezifischen Angaben veröffentlicht)
- Betroffene Komponente: Endpunkt /login/ap_Login.aspx/start, Parameter sInfo (POST)
Behoben in
Unbekannt. Zum Zeitpunkt der Veröffentlichung wurde keine Lösung gemeldet; bei Integratec nach einem gepatchten Build fragen.
Umgehung
- Zugriff auf die Anwendung auf Benutzer, Netzwerke und Kanäle beschränken, die ihn zwingend benötigen
- Anwendung vom öffentlichen Internet fernhalten (VPN oder IP-Allow-Listing)
- Als temporäre Massnahme eine Web Application Firewall vor den Endpunkt schalten
- Datenbankkonto-Berechtigungen der Anwendung überprüfen
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; INCIBE meldet keine bestätigten Vorfälle oder aktiven Kampagnen
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- Nicht in der KEV-Liste; VulDB meldet keinen verfügbaren Exploit
Unsere Empfehlung
- Prüfen, ob die Integratec application in Ihrer Organisation eingesetzt oder erreichbar ist, einschliesslich SaaS- und selbst gehosteter Nutzung
- Bei Integratec die gepatchte Version und eine Sicherheitsmitteilung anfordern und diese sobald verfügbar einspielen
- Direkte Internetexposition der Login-Seite jetzt entfernen
- Logs auf auffällige POST-Anfragen an /login/ap_Login.aspx/start prüfen
- Falls die Anwendung Personaldaten enthält, im Falle eines Vorfalls die Pflichten nach dem Schweizer nDSG prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice (English) www.incibe.es
- INCIBE-CERT notice (Spanish) www.incibe.es
- OpenCVE CVE-2026-13695 app.opencve.io
- VulDB entry 422294 vuldb.com
- CVE record mirror (threatint) cve.threatint.com
- Techconsulting advisory summary techconsulting.es
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.