Kurzfassung

Gleich vier Anwendungen sind von kritischen SQL-Injection-Lücken betroffen. In allen Fällen können Angreifer ohne Anmeldung über schlecht bereinigte Eingaben auf die Datenbank zugreifen, Daten lesen und je nach Produkt auch ändern oder löschen. Für Betreiber ist das kein Theorieproblem. Wer eine der betroffenen Anwendungen einsetzt, sollte den Patch-Stand sofort prüfen und den Zugriff auf die betroffenen Funktionen eng überwachen.

Besonders heikel ist: Bei mehreren der Meldungen reicht ein einfacher HTTP-Request aus. Das macht die Schwachstellen für automatisierte Angriffe attraktiv. Für DACH-Unternehmen mit öffentlich erreichbaren Installationen steigt das Risiko deutlich, wenn die Systeme nicht zeitnah aktualisiert wurden.

Was ist passiert?

Die NVD listet vier getrennte Schwachstellen mit gleichem Grundmuster: SQL-Injection durch ungefilterte Eingaben. Betroffen sind Tencent APIJSON bis einschließlich 8.1.8, Friendica im 2026.08-dev-Zweig, e107 2.4.0 und das Travel Agency Management System von Win Men Intermational. In allen Fällen können entfernte Angreifer ohne gültige Zugangsdaten schädliche SQL-Anweisungen einschleusen.

Das ist die klassische Schwachstelle mit hohem Schadenpotenzial. Wo die Anwendung Eingaben direkt in SQL übernimmt, kippt schnell die komplette Zugriffskontrolle. Bei APIJSON geht es laut NVD sogar um eine Umgehung der tabellenbezogenen Zugriffskontrolle. Bei e107 wird zusätzlich erwähnt, dass Administratorzugänge in der Datenbank mit auslesbar sind.

Technische Details

CVE-2026-72565 betrifft Tencent APIJSON bis 8.1.8. Der Auslöser ist der Map-form @having-Operator. Über ihn lässt sich SQL so einschleusen, dass die per-table access control umgangen wird. Das eröffnet Lesezugriff auf beliebige Tabellen. Unauthentifizierte Angriffe sind möglich.

CVE-2026-19425 trifft das Travel Agency Management System von Win Men Intermational. Die NVD beschreibt eine SQL-Injection, mit der entfernte Angreifer beliebige SQL-Befehle ausführen können. Lesen, verändern und löschen von Datenbankinhalten sind laut Beschreibung drin. Ob weitere Versionen als die genannte Produktlinie betroffen sind, lässt die Quelle offen.

CVE-2026-72550 betrifft Friendica bis in den 2026.08-dev-Zweig hinein. Das Problem sitzt im photo-view order-Parameter. Er landet unescaped in einer SHOW-COLUMNS-Abfrage, die per PDO::query() ausgeführt wird. Besonders brisant: Laut NVD sind gestackte Statements möglich. Damit wird aus einem Leseproblem schnell ein kompletter Datenbankvorfall.

CVE-2026-72599 betrifft e107 2.4.0. Der news-item-page-ID-Parameter wird ohne Escaping in eine SQL-WHERE-Klausel eingebaut. Auch hier sind entfernte, nicht authentifizierte Angriffe möglich. Die Beschreibung nennt explizit das Risiko, dass Angreifer die gesamte Datenbank auslesen oder verändern und sogar Administratorzugänge abziehen können.

Wer ist betroffen?

Direkt betroffen sind Betreiber der genannten Produkte. Für APIJSON und e107 sind die Versionen klar benannt. Bei Friendica nennt die Quelle den 2026.08-dev-Zweig; für produktive Installationen ist das vor allem dann relevant, wenn aus Entwicklungsständen versehentlich produktiv geworden ist oder wenn Forks ähnliche Muster übernommen haben. Beim Travel Agency Management System bleibt die Lage dünner, weil die Meldung keine sauber abgegrenzte Versionsangabe im Auszug liefert.

Für Unternehmen im DACH-Raum ist vor allem eines wichtig: Öffentlich erreichbare Anwendungen mit Datenbankanbindung stehen sofort unter Druck, wenn bekannte SQL-Injections auftauchen. Selbst interne Fachanwendungen sind kein sicherer Hafen, sobald ein Angreifer einen Foothold im Netz hat. Dann wird die Schwachstelle oft zum Sprungbrett für Datendiebstahl oder die Vorbereitung weiterer Angriffe.

Privatnutzer sind nur dann direkt betroffen, wenn sie eine der genannten Anwendungen selbst betreiben. Das dürfte die Minderheit sein. Relevanter ist die Lage für kleine Webhoster, Agenturen, Vereine und Mittelständler mit selbst gehosteten Portalen oder Community-Systemen.

Empfohlene Maßnahmen

Zuerst den Bestand prüfen. Welche Systeme laufen mit Tencent APIJSON, Friendica, e107 oder dem Travel Agency Management System? Welche Version ist installiert? Wer das nicht sicher beantworten kann, hat schon das erste Problem.

Dann sofort auf verfügbare Hersteller- oder Projektupdates gehen. Bei APIJSON und e107 ist der Versionsbezug in der Meldung klar genug, um den Update-Druck zu bewerten. Friendica-Installationen aus dem betroffenen Entwicklungszweig sollten umgehend auf einen korrigierten Stand gebracht oder vorübergehend vom Netz genommen werden, wenn kein schneller Fix verfügbar ist. Für das Travel-Tool gilt: Vendor-Informationen und Patch-Hinweise gezielt nachziehen, weil die Quellenlage im Auszug dünn bleibt.

Parallel gehört die Webanwendung auf Missbrauch geprüft. Logs auf ungewöhnliche Parameterwerte kontrollieren, besonders bei den genannten Eingabefeldern. Datenbankkonten härten, Rechte minimieren, Schreibrechte trennen. Das stoppt die Schwachstelle nicht, senkt aber den Schaden, wenn ein Angriff schon lief. Wer Reverse Proxy, WAF oder Regeln auf Anwendungsebene nutzen kann, sollte bekannte Angriffsmuster zusätzlich blocken.

Für Admins zählt jetzt Tempo. Keine langen Change-Zyklen, wenn eine Internetanwendung mit unauthentifizierter SQL-Injection exponiert ist. Erst patchen, dann sauber testen. Danach die Indikatoren einer möglichen Kompromittierung prüfen, inklusive veränderter Datensätze und unbekannter Admin-Accounts in der Datenbank.

Einschätzung von CyberSecurity-News.de

Die Lage ist technisch klar und operativ unangenehm. Vier kritische SQL-Injections auf einmal sind kein exotischer Einzelfall, sondern ein Hinweis auf ein altes, weiter verbreitetes Problem: zu viel Vertrauen in ungeprüfte Eingaben. Dass mehrere der betroffenen Produkte unauthentifizierte Angriffe erlauben, macht die Sache deutlich ernster als eine interne Fehlerkette.

Die Informationslage ist aber nicht überall gleich gut. Bei einigen Meldungen nennt die NVD nur knappe Produktgrenzen. Das reicht für die erste Priorisierung, nicht für saubere Entwarnung. Gerade bei kleineren oder wenig gepflegten Projekten sollten Betreiber deshalb nicht auf eine perfekte Herstellerkommunikation warten. Wer betroffen sein könnte, muss jetzt selbst nachsehen.

Alarmismus hilft hier nicht. Aber Wegsehen wäre fahrlässig. SQL-Injection bleibt eine der zuverlässigsten Methoden, um Webanwendungen zu kompromittieren, weil sie oft direkt auf die Datenbank durchschlägt. Wer die genannten Systeme im Einsatz hat, sollte die Schwachstellen heute noch prüfen.

Fazit

CVE-2026-72565, CVE-2026-19425, CVE-2026-72550 und CVE-2026-72599 zeigen ein vertrautes, aber weiterhin gefährliches Muster. Ungeprüfte Eingaben in SQL-Abfragen öffnen Angreifern den Weg in die Datenbank. Für Betreiber zählt jetzt die Kombination aus zügigem Patchen, Logkontrolle und Härtung der Datenbankrechte.

Für die meisten Leser ist das vor allem dann kritisch, wenn sie solche Anwendungen selbst betreiben oder administrieren. Wer das tut, sollte nicht auf weitere Details warten. Prüfen, aktualisieren, absichern.

Quellenangabe

Weiterführende Quelle: NVD: CVE-2026-72565