Epicor HCM – SQL-Injection im JsonFetcher.svc-Endpunkt

Beschreibung

In Epicor HCM 2021 1.9 besteht eine SQL-Injection-Schwachstelle im filter-Parameter des Endpunkts JsonFetcher.svc. Ein Angreifer kann durch Einschleusen bösartiger SQL-Payloads beliebige SQL-Befehle auf der Backend-Datenbank ausführen; bei aktivierten Funktionen wie xp_cmdshell kann dies bis zur Remote Code Execution führen. Patches liegen vor (5.16.0.1033/HCM2022, 5.17.0.1146/HCM2023, 5.18.0.573/HCM2024). CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Infor/Epicor/IFS/Unit4/Wilken

• Unit4 Financials by Coda Zugriffskontroll-Umgehung ermöglicht Passwort-Änderung CVE-2024-28735
• NVIDIA Dynamo für Linux: Server-Side Request Forgery im Multimodal Media Fetcher CVE-2026-47616
• Infor Global HR – Insecure Direct Object Reference in der Employee Compensation View CVE-2025-60931
• Open5GS 2.8.0 – Schwachstelle in der S6a-Authentication-Information-Komponente CVE-2026-78156
• Infor SyteLine ERP – Hartcodierte kryptografische Schlüssel CVE-2026-2103
• GitLab EE: Authentifizierte Nutzer können auf fremde Informationen zugreifen CVE-2026-15077