Tianji: SQL-Injection über den Zeitzonen-Parameter in Analyseabfragen
Zusammenfassung
Tianji ist eine Open-Source-Plattform für Analysen, Verfügbarkeitsüberwachung und Server-Statusseiten. Die Funktion getDateQuery() übernimmt den Zeitzonenwert aus Anfragedaten oder dem HTTP-Header timezone ungebunden in rohes SQL, was eine SQL-Injection ermöglicht. Jedes authentifizierte Workspace-Mitglied, auch ein Viewer mit Leserechten, kann die betroffenen Abfragen erreichen; ein Angreifer kann dadurch Daten in der gemeinsam genutzten PostgreSQL-Datenbank lesen oder ändern, darunter Zugangsdaten, API-Schlüssel und Mandantendaten, oder den Dienst stören.
Betroffen
- Tianji-Versionen vor 1.31.29
- VulDB nennt den Bereich bis einschliesslich 1.31.28
- Der Hersteller-Advisory nennt den Bereich unterhalb 1.31.29; im primären Advisory prüfen
Behoben in
- Version 1.31.29 (veröffentlicht am 10. Juni 2026)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein
- Nicht in KEV gelistet
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Alle Tianji-Instanzen und deren Versionen erfassen
- Auf 1.31.29 oder neuer aktualisieren; dieselbe Version behebt auch CVE-2026-55240 (kritisches Template-Problem), daher priorisieren
- Workspace-Mitgliedschaften prüfen und nicht benötigte Konten entfernen
- Netzwerkzugriff auf die Tianji-Weboberfläche einschränken (VPN oder nur intern)
- Rechte des Datenbankkontos auf das für die Anwendung Nötige beschränken
- Datenbank und Logs auf ungewöhnliche Abfragen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-55239 Fix commit github.com
- Tianji release v1.31.29 github.com
- GitHub Security Advisory GHSA-v9jm-vvrj-53c4 github.com
- VulDB entry 420765 vuldb.com
- OpenCVE CVE-2026-55239 app.opencve.io
- Tianji project repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.