Futurum Software User Authentication Module: Blind SQL Injection vor der Authentifizierung
Zusammenfassung
Das User-Authentication-Modul von Futurum Software, einer cloudbasierten Business-Management-Plattform für Multi-Level-Marketing-Unternehmen, enthält eine Blind-SQL-Injection-Schwachstelle (CVE-2026-14571, CVSS v4.0 9.1). Eingaben werden bei Abfragen an die Datenbank des privaten Bereichs nicht ausreichend validiert, und eine fehlerhafte WAF-Konfiguration erlaubt es, den Schutz mit manipulierten HTTP-Anfragen zu umgehen. Ein nicht authentifizierter Angreifer aus dem Netzwerk könnte beliebige Datenbankabfragen ausführen, die Datenbankstruktur auslesen und auf sensible Kundendaten inklusive personenbezogener Daten zugreifen.
Betroffen
- Futurum Software User Authentication Module, Versionen vor Mai 2026 (gemäss CVE-Eintrag; genaue Build-Nummern unbekannt)
Behoben in
- Der Hersteller hat die Schwachstelle im User-Authentication-Modul behoben. Genaue korrigierte Version: Unbekannt.
Umgehung
- Unbekannt. Die WAF sollte nicht als Massnahme vorausgesetzt werden, da sie umgangen werden kann.
Ausnutzung
- INCIBE führt die Ausnutzung als nicht bekannt.
- Im begrenzten Rechercheumfang wurde kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.25% (Perzentil 17).
Unsere Empfehlung
- Falls Ihre Organisation Futurum Software einsetzt, lassen Sie sich vom Hersteller bestätigen, dass die Korrektur Ihren Mandanten abdeckt, und den betroffenen Zeitraum nennen.
- Klären Sie, ob Kundendaten abgeflossen sind, und prüfen Sie, welche personenbezogenen Daten die Plattform speicherte.
- Lassen Sie mit juristischer Beratung beurteilen, ob nach dem revidierten Schweizer DSG eine meldepflichtige Datenschutzverletzung vorliegt.
- Falls Sie dieses Produkt nicht einsetzen, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-802 www.incibe.es
- VulDB CVE-2026-14571 vuldb.com
- OffSeq radar CVE-2026-14571 radar.offseq.com
- CVE database entry (threatint) cve.threatint.com
- Strix AI CVE-2026-14571 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.