SQL-Injection in Group-Office JMAP-Endpunkt

Beschreibung

Group-Office ist ein Werkzeug für Kundenbeziehungsmanagement und Groupware. Vor den Versionen 6.8.158, 25.0.92 und 26.0.17 erlaubt eine authentifizierte SQL-Injection-Schwachstelle im JMAP-Endpunkt Contact/query jedem authentifizierten Benutzer mit einfachem Adressbuchzugriff, beliebige Daten aus der Datenbank auszulesen, darunter aktive Sitzungstokens anderer Benutzer. Dies ermöglicht die vollständige Übernahme beliebiger Konten, einschliesslich des Systemadministrators, ohne Kenntnis des Passworts. Die Versionen 6.8.158, 25.0.92 und 26.0.17 beheben das Problem. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 6.8.158, 25.0.92 oder 26.0.17.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Microsoft Office (Word/Excel/PowerPoint/Outlook)

• Microsoft SharePoint: Deserialisierung nicht vertrauenswürdiger Daten (RCE) KEV CVE-2026-50522
• Microsoft Office SharePoint – Umgehung eines Sicherheitsmerkmals durch schwache Authentifizierung KEV CVE-2026-55040
• Microsoft SharePoint – Remote-Codeausführung durch unsichere Deserialisierung KEV CVE-2026-58644
• Microsoft Office Remote Code Execution KEV CVE-2009-0238
• Microsoft Visual Basic for Applications – Insecure Library Loading KEV CVE-2012-1854
• Microsoft Office Word – Umgehung von Sicherheitsentscheidungen durch unsichere Eingaben KEV CVE-2026-21514