SQL Injection-Schwachstelle in EGroupware (SYSS-2024-047)

EGroupware ist eine webbasierte Plattform zur Organisation von E-Mails, Kalendern, Adressbüchern und mehr, hauptsächlich entwickelt für Unternehmen.

Der Hersteller beschreibt das Produkt als "[…] das Online Office für maximale digitale Souveränität."

Die SySS GmbH stellte fest, dass Aufrufe zum Sortieren verschiedener Listen, beispielsweise des Adressbuchs, manipuliert werden können, um SQL-Befehle auszuführen. Dies hat zur Folge, dass der gesamte Datenbankinhalt ausgelesen werden kann. Um diese Schwachstelle ausnutzen zu können, benötigt ein potenzieller Angreifer einen gültigen Benutzer ohne spezielle Rechte.

Die Schwachstelle wurde nach der Kontaktaufnahme durch die SySS GmbH umgehend vom Hersteller behoben.

Detaillierte Informationen zu dieser Schwachstelle finden Sie in unserem Security Advisory / You will find detailed information about this security issue in our Security Advisory:

• SYSS-2024-047 (CVE-2024-40614)

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.