JTL-WMS MobileServer: Authentifizierungsumgehung durch fehlende Token-Prüfung
Zusammenfassung
Die Autorisierungs-Middleware des WMS MobileServers, einer Komponente von JTL-WMS, verlangt keine Authentifizierung für Anfragen mit anderen HTTP-Methoden als GET und HEAD sowie für Anfragen mit fehlerhaftem oder nicht als Bearer-Token aufgebautem Authorization-Header. Ein Angreifer mit Netzwerkzugriff auf den Dienst kann API-Funktionen ohne gültige Zugangsdaten aufrufen. Laut Hersteller ermöglicht die Schwachstelle in Kombination mit CVE-2026-89310 (SQL-Injection) die Ausführung von SQL-Anweisungen ohne Authentifizierung auf dem Datenbankserver, was zur vollständigen Übernahme des Datenbankservers führen kann.
Betroffen
- JTL-WMS 2.0 bis vor 2.0.7
- JTL-WMS 2.1 bis vor 2.1.3
- JTL-WMS 2.2 bis vor 2.2.1
- Versionen vor 2.0 sind laut Hersteller nicht von CVE-2026-89309 betroffen.
- Nur Installationen, in denen der WMS MobileServer eingerichtet und gestartet ist, sind betroffen. Der Standard-Port ist TCP 8080 (konfigurierbar).
Behoben in
- 2.0.7
- 2.1.3
- 2.2.1
Der CNA-Eintrag nennt 2.1.2 als Grenze für den 2.1.x-Zweig; die Herstellerinformation nennt 2.1.3, was hier verwendet wird.
Umgehung
- Keine Übergangsmassnahme des Herstellers veröffentlicht.
- Den Netzwerkzugriff auf den WMS MobileServer auf bekannte Geräte über LAN oder VPN beschränken und den Dienst nicht aus dem Internet erreichbar machen.
- Protokolle auf unerwartete API-Anfragen prüfen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (CISA SSVC: Exploitation none).
- EPSS-Wert 0.00389.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob der WMS MobileServer installiert und in Betrieb ist. Falls nicht, ist kein Handlungsbedarf gegeben.
- Auf 2.0.7, 2.1.3 oder 2.2.1 aktualisieren, passend zum eigenen Release-Zweig.
- Eine Erreichbarkeit des MobileServers aus dem Internet entfernen.
- Protokolle auf unerwartete API-Aktivitäten prüfen und das von der Anwendung verwendete Datenbankkonto kontrollieren.
- Versionen vor 2.0 erhalten für CVE-2026-89310 keinen Patch und müssen auf 2.0.7 oder neuer aktualisiert werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JTL Security Advisory CVE-2026-89309 / CVE-2026-89310 www.jtl-software.com
- Vulners: CVE-2026-89309 (Rapid7 record) vulners.com
- OffSeq Radar: CVE-2026-89309 radar.offseq.com
- CVEBrief security brief, 14 Oct 2026 cvebrief.com
- Strix: CVE-2026-89310 (companion SQL injection) www.strix.ai
- JTL community forum: MobileServer authentication too weak (community, not vendor) forum.jtl-software.de
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.