CVE-2026-40330 in Masa
Zusammenfassung
von VulDB • 29.05.2026
Masa CMS ist ein Open-Source-Content-Management-System. In den Versionen 7.2.0 bis 7.2.9, 7.3.0 bis 7.3.14, 7.4.0 bis 7.4.9 sowie 7.5.0 bis 7.5.2 besteht eine SQL-Injection-Schwachstelle in der Komponente beanFeed.cfc innerhalb der getQuery-Funktion bei der Verarbeitung des sortDirection-Parameters. Der Parameterwert wird ohne Sanitisierung oder Parametrisierung direkt in SQL-Abfragen eingefügt. Ein nicht authentifizierter, entfernter Angreifer kann dies ausnutzen, um sensible Informationen zu extrahieren, Datenbankdatensätze zu ändern oder zu löschen oder potenziell Remote Code Execution (RCE) auf dem zugrunde liegenden Datenbankserver zu erreichen.
Dieses Problem wurde in den Versionen 7.2.10, 7.3.15, 7.4.10 und 7.5.3 behoben. Als Workaround kann eine Web Application Firewall (WAF) eingesetzt werden, um den Zugriff auf die Komponente beanFeed.cfc zu blockieren oder einzuschränken, oder es können Regeln bereitgestellt werden, um SQL-Injection-Muster zu erkennen, die den sortDirection-Parameter zielen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.