GouGuOA: SQL-Injection im Papierkorb-Endpunkt der Nachrichten über den Parameter keywords
Zusammenfassung
GouGuOA in Version 6.0.5 und älteren Versionen ist anfällig für SQL-Injection im Endpunkt /home/message/rubbish über den Parameter keywords. Der Parameter wird ungefiltert in eine SQL-Abfrage eingesetzt, weshalb ein Angreifer mit einem angemeldeten Konto Datenbankinhalte wie Administratorzugangsdaten auslesen kann; zudem sind Datenabfragen über zeitbasierte Techniken blind möglich. Laut dem verlinkten Advisory ist der Message-Controller von Berechtigungsprüfungen ausgenommen, daher kann jeder angemeldete Benutzer die Lücke ausnutzen.
Betroffen
- GouGuOA 6.0.5 und ältere Versionen
- Jedes angemeldete Konto kann den betroffenen Endpunkt erreichen (gemäss verlinktem Advisory)
Behoben in
Unbekannt. Der Hersteller hat noch keine korrigierte Version bestätigt.
Umgehung
- Den Zugriff auf das Nachrichtenmodul von GouGuOA über Netzwerk oder VPN einschränken
- Die Anwendung hinter eine Web Application Firewall stellen; dies ist eine allgemeine Massnahme und nicht vom Hersteller bestätigt
- Das Datenbankkonto der Anwendung mit minimalen Berechtigungen betreiben
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc' (öffentlicher Proof of Concept), automatisierbar: ja, technische Auswirkung: total
- Es wurden keine Hinweise auf eine aktive Ausnutzung in freier Wildbahn gefunden; KEV: Nein
Unsere Empfehlung
- Alle GouGuOA-Instanzen und deren Versionen inventarisieren
- Den Zugriff auf vertrauenswürdige Benutzer und Netzwerke beschränken und bestehende Benutzerkonten überprüfen
- Web- und Datenbanklogs auf SQL-Fehlermeldungen und Injection-Muster überwachen
- Den Herstellerfix sobald verfügbar einspielen und beim Hersteller eine korrigierte Version anfragen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub advisory fangtang7/CVE GouGuOA sql.md github.com
- INCIBE-CERT early warning CVE-2026-88395 www.incibe.es
- Strix CVE-2026-88395 www.strix.ai
- GitHub jenn619/CVE issue 4 (related report) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.