SQL Injection-Schwachstelle in EGroupware (SYSS-2024-047)
–
Advisories
– SYSS-2024-047
Ein Security Advisory von IT Security Consultant Christian Zäske
EGroupware ist eine webbasierte Plattform zur Organisation von E-Mails, Kalendern, Adressbüchern und mehr, hauptsächlich entwickelt für Unternehmen.
Der Hersteller beschreibt das Produkt als "[…] das Online Office für maximale digitale Souveränität."
Die SySS GmbH stellte fest, dass Aufrufe zum Sortieren verschiedener Listen, beispielsweise des Adressbuchs, manipuliert werden können, um SQL-Befehle auszuführen. Dies hat zur Folge, dass der gesamte Datenbankinhalt ausgelesen werden kann. Um diese Schwachstelle ausnutzen zu können, benötigt ein potenzieller Angreifer einen gültigen Benutzer ohne spezielle Rechte.
Die Schwachstelle wurde nach der Kontaktaufnahme durch die SySS GmbH umgehend vom Hersteller behoben.
Detaillierte Informationen zu dieser Schwachstelle finden Sie in unserem Security Advisory / You will find detailed information about this security issue in our Security Advisory:
Termine
19.01.2026
- 20.01.2026
Hack1/Hack2: Hacking Workshop
21.01.2026
- 22.01.2026
Hack1/Hack2: Hacking Workshop
27.01.2026
- 28.01.2026
Hack11: Hacking von OT-Umgebungen
02.02.2026
Secu5: Planung und Durchführung von Penetrationstests
Ihr direkter Kontakt zu SySS +49 7071 407856-0 oder anfrage@syss.de | IN DRINGENDEN FÄLLEN AUSSERHALB DER GESCHÄFTSZEITEN +49 7071 407856-99
Als Rahmenvertragskunde wählen Sie bitte die bereitgestellte Rufbereitschaftsnummer
Ihr direkter Kontakt zu SySS +49 7071 407856-0 oder anfrage@syss.de
IN DRINGENDEN FÄLLEN AUSSERHALB DER GESCHÄFTSZEITEN +49 7071 407856-99
Als Rahmenvertragskunde wählen Sie bitte die bereitgestellte Rufbereitschaftsnummer
Direkter Kontakt
+49 7071 407856-0 oder anfrage@syss.de
IN DRINGENDEN FÄLLEN AUSSERHALB DER GESCHÄFTSZEITEN
+49 7071 407856-99
Als Rahmenvertragskunde wählen Sie bitte die bereitgestellte Rufbereitschaftsnummer
