JTL-WMS: SQL-Injection in der Anfragenverarbeitung des WMS MobileServers
Zusammenfassung
Ein Parameter aus dem Anfragekörper des WMS MobileServers, einer Komponente von JTL-WMS, wird ohne Parametrisierung oder Maskierung in eine T-SQL-Anweisung eingesetzt. Ein entfernter Angreifer mit Netzwerkzugriff auf den Dienst kann beliebige SQL-Anweisungen im Kontext des Datenbankkontos der Anwendung ausführen, das hoch privilegiert ist. Ab Version 2.0 lässt sich dies in Kombination mit CVE-2026-89309 (Umgehung der Authentifizierung) ohne Zugangsdaten ausnutzen; in Versionen vor 2.0 sind gültige Zugangsdaten erforderlich. Nur Installationen, in denen der WMS MobileServer eingerichtet und gestartet wurde, sind betroffen.
Betroffen
- WMS MobileServer (Komponente von WMS, Bestandteil von On-Prem ERP) ab 1.7.0 bis vor 2.0.7, 2.1.3 und 2.2.1
- Die Zweige 1.7.* bis 1.11.* sind betroffen und erhalten keinen Patch
- Standard-Port TCP 8080 (konfigurierbar)
- Bei einer Standardinstallation wird der MobileServer nicht automatisch gestartet
Behoben in
- Behoben in 2.0.7, 2.1.3 und 2.2.1 (veröffentlicht am 13. Oktober 2026)
- Kein Fix für 1.7.0 bis 1.11.x; für diese Installationen ist ein Upgrade auf 2.0.7 oder neuer die einzige Abhilfe
- Im eigenen Release-Zweig bleiben
Umgehung
- Unbekannt.
- Allgemeine Massnahme, keine Herstellerangabe: Netzwerkzugriff auf den Port des MobileServers so einschränken, dass er nicht aus dem Internet erreichbar ist
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- PSIRT führt keinen öffentlichen Exploit; nicht im CISA KEV
- In den geprüften Quellen keine Berichte über Ausnutzung in freier Wildbahn; dies ist keine bestätigte Abwesenheit
Unsere Empfehlung
- Prüfen, ob der WMS MobileServer installiert und aktiv ist sowie auf welchem Port er läuft
- Auf 2.0.7, 2.1.3 oder 2.2.1 aktualisieren, passend zum eigenen Release-Zweig; 1.x-Installationen auf 2.0.7 oder neuer aktualisieren
- Den MobileServer nicht direkt aus dem Internet erreichbar machen; für den Fernzugriff ein VPN verwenden
- CVE-2026-89309 und CVE-2026-89310 gemeinsam behandeln und die Rechte des Datenbankkontos überprüfen
- Logs auf ungewöhnliche Anfragen an den MobileServer und die Datenbank überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JTL Security Advisory CVE-2026-89309 / CVE-2026-89310 www.jtl-software.com
- PSIRT CVE-2026-89310 psirt.com
- Strix CVE-2026-89310 www.strix.ai
- ThreatInt CVE-2026-89310 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.