CRM softtradeindia: SQL-Injection in der Login-Seite
Zusammenfassung
Die Login-Seite der Webanwendung CRM softtradeindia ist laut Berichten anfällig für boolesche SQL-Injection über den Parameter TxtUsername. Ein nicht authentifizierter Angreifer aus dem Netzwerk könnte die SQL-Abfrage im Backend manipulieren und unter Umständen die Authentifizierung umgehen; die tatsächlichen Auswirkungen hängen von der Backend-Implementierung und den Datenbankberechtigungen ab. Die Quellen bestätigen keine Remote Code Execution, trotz der Formulierung in der CVE-Beschreibung. Der CVSS-Wert 9.8 ist nicht verifiziert, der NVD-Status lautet Deferred, und ein Herstellerfix ist nicht bekannt.
Betroffen
- CRM softtradeindia von SoftTrade Infotech, Version 1.0 gemäss CVE-Eintrag und VulDB; das Repository des Melders nennt Version 1.1. Ungeklärt.
- Login-Funktionalität, Parameter TxtUsername (HTTP POST)
- Die NVD enthält keine Produkt- oder Versionsangaben.
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung, ein PSIRT-Eintrag noch ein Patch gefunden.
Umgehung
- Zugriff auf den CRM-Login einschränken (nur VPN, IP-Allowlist oder internes Netzwerk)
- Datenbankkonto auf die für das CRM nötigen Berechtigungen beschränken
- Authentifizierungs-Logs auf ungewöhnliche Eingaben überwachen
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; die CVE ist nicht im CISA KEV.
- Status eines öffentlichen Exploits unklar: Das GitHub-Repository des Melders (veröffentlicht am 23. Okt. 2026) wurde nicht auf Exploit-Code geprüft.
- CISA-SSVC-Bewertung: Exploitation PoC, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle Instanzen dieses CRM inventarisieren, einschliesslich gehosteter und selbst betriebener Kopien sowie Schatten-IT.
- Den Login-Zugriff wie oben beschrieben einschränken, bis ein Fix bestätigt ist.
- Den Hersteller schriftlich um einen Fix, einen Zeitplan und einen Sicherheitskontakt bitten.
- Den Login-Code auf SQL-Injection prüfen oder testen lassen; bei eigener Wartung parametrisierte Abfragen einsetzen.
- Den Wert 9.8 als obere Schranke betrachten, bis NVD oder der Hersteller die CVE bewertet.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
Hardik007007/CVE-2026-31158-Boolean-Based-SQL-Injection-in-CRM-Login
Quellen der Recherche
- Reporter's GitHub repository (CVE-2026-31158) github.com
- VulDB entry 426471 vuldb.com
- OpenCVE CVE-2026-31158 app.opencve.io
- OffSeq Radar threat entry radar.offseq.com
- PSIRT CVE-2026-31158 psirt.com
- Strix CVE-2026-31158 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.