Management Summary
In der Mitarbeiterüberwachungssoftware NesterSoft WorkTime wurden mehrere Schwachstellen identifiziert. Ein nicht authentifizierter Angreifer kann beliebige Betriebssystembefehle ausführen, um die vollständige Kontrolle über den WorkTime-Server zu erlangen. Eine fehlende Autorisierungsprüfung ermöglicht es einem Angreifer, die Datenbankkonfiguration zurückzusetzen. Darüber hinaus kann eine SQL-Injection-Schwachstelle in der Admin-Oberfläche mit minimalen Berechtigungen ausgenutzt werden, um Daten aus der Datenbank auszulesen. Zusätzlich wurde eine reflektierte Cross-Site-Scripting-Schwachstelle (XSS) identifiziert.
Ein lokaler Angreifer kann das Update-Verhalten des WorkTime-Überwachungsdaemons ausnutzen, um seine Berechtigungen auf dem System auf NT Authority\SYSTEM zu erweitern.
Zum vollständigen Security Advisory (Englisch)
EOF Tobias Niemann, Daniel Hirschberger, Thorger Jansen (Office Bochum), Marius Renner (Office Berlin) / @2026
Interesse an einer Zusammenarbeit mit den Experten von SEC Consult? Senden Sie uns Ihre Bewerbung.
Möchten Sie Ihre eigene Cyber-Sicherheit mit den Experten von SEC Consult verbessern? Kontaktieren Sie unsere lokalen Büros.