CVE-2026-19425: SQL-injektion i rejsebureau-system

CVE-2026-19425 er en SQL-injektion, en sårbarhed hvor en angriber kan indsætte egne databasekommandoer i et system, i Travel Agency Management System fra Win Men International. Fejlen ligger i, hvordan systemet håndterer input fra brugere, før det sendes videre til databasen. Fordi input ikke renses ordentligt, kan en angriber skrive SQL-kode direkte ind i for eksempel et søgefelt eller login-felt og få databasen til at udføre kommandoer, den ikke skulle. Det kræver ikke login og ingen handling fra en bruger, kun at systemet er tilgængeligt på nettet. Angriberen kan derfor gå direkte efter data uden først at skulle bryde ind i en konto.

Sårbarheden rammer virksomheder, der bruger Travel Agency Management System fra Win Men International, typisk rejsebureauer og virksomheder, der administrerer bookinger, kunder og betalinger gennem systemet. Der er ikke i den offentliggjorte information angivet specifikke versionsnumre, men produktet som sådan er ramt. Alle installationer, der er tilgængelige fra internettet, bør betragtes som eksponerede, uanset om de anvendes internt eller af kunder.

En angriber kan uden login læse hele databasen, herunder kundeoplysninger, rejseinformation, betalingsdata og loginoplysninger til andre systemer. Angriberen kan også ændre eller slette data, for eksempel bookinger, priser eller brugerrettigheder, og i nogle tilfælde bruge adgangen til at komme videre ind i virksomhedens netværk. For et dansk rejsebureau betyder det risiko for lækage af persondata efter databeskyttelsesreglerne, økonomisk svindel og driftsstop, hvis data slettes eller ændres.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld skade på fortrolighed, integritet og tilgængelighed, det vil sige at angriberen kan læse, ændre og slette data samt påvirke systemets drift. Der er ikke offentligt kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, men den lave angrebskompleksitet og det manglende krav om login gør sårbarheden attraktiv at udnytte automatisk i stor skala.

Følg punkterne i den viste rækkefølge, da det første punkt lukker hullet mest effektivt.

1. Tag systemet offline fra internettet, eller begræns adgangen til betroede IP-adresser, indtil en opdatering findes.
2. Kontakt leverandøren Win Men International for at få bekræftet, om der findes en opdateret version, der lukker sårbarheden.
3. Gennemgå logfiler for usædvanlige databasekald eller uventet trafik til søge- og loginfelter, der kan indikere tidligere udnyttelse.
4. Skift adgangskoder og roter database-legitimationsoplysninger, hvis systemet har været tilgængeligt fra internettet.
5. Indfør en webapplikationsfirewall som midlertidig beskyttelse, hvis systemet skal forblive tilgængeligt.
6. Hent hjælp udefra, hvis I ikke selv kan vurdere, om systemet allerede er kompromitteret, eller hvis leverandøren ikke har en opdatering klar.