www.verl.de

Bugsink: https://bugsink.cytrus.de/issues/issue/42b6046a-4e9a-4648-ad93-9f96fc57c257/event/last/

Typ: NEW issue

Projekt: www-verl-de

Bugsink Alert

ErrorException: Warning: filesize(): stat failed for /srv/www/www.verl.de/pages/public/uploads/tx_powermail/1dmdm0wv2__or_411__select_411_from_pg_sle…

Automatisch erstellt durch n8n

KI-Analyse:

1. Ursache¶

Es handelt sich um einen versuchten SQL-Injection-Angriff über Datei-Upload in der TYPO3 Extension powermail.

Der Dateiname 1dmdm0wv2__or_411__select_411_from_pg_sleep_15__-- enthält eine klassische time-based SQLi Payload (pg_sleep(15) – PostgreSQL Delay-Funktion). Der Angreifer hat versucht, einen bösartigen Dateinamen einzuschleusen, der bei Verarbeitung durch die Datenbank eine SQL-Injection auslösen soll.

filesize() schlägt fehl, weil die Datei nicht existiert (oder nicht stat-bar ist) – der Upload wurde entweder abgefangen oder die Datei wurde nie korrekt geschrieben.

2. Fix (konkret)¶

• Datei löschen: /srv/www/www.verl.de/pages/public/uploads/tx_powermail/1dmdm0wv2__or_411__select_411_from_pg_sleep_15__-- entfernen
• Powermail updaten: Auf die neueste Version bringen (ältere Versionen hatten Lücken im Datei-Upload-Handling)
• Filename Sanitization: In der Extension bzw. per Server-Regel Dateinamen mit SQL/Shell-Metazeichen blockieren (preg_match auf erlaubte Zeichen beschränken)
• ModSecurity/WAF: Regel aktivieren, die pg_sleep, UNION SELECT etc. in Upload-Pfaden blockiert
• Log-Analyse: Prüfen, ob der Angreifer erfolgreich war (weitere Dateien im Upload-Ordner, DB-Einträge mit verdächtigen Werten)

3. Betroffene Extension¶

powermail (Formularbuilder, tx_powermail) – Datei-Upload-Feld hat den Angriffsvektor bereitgestellt.

4. Confidence¶

90 % – Der Payload im Dateinamen ist eindeutig als SQLi erkennbar, der Pfad zeigt klar auf powermail. Offen ist nur, ob die Extension-Version tatsächlich verwundbar war (CVE-Check empfohlen).