MB connect line mbCONNECT24, mb24api एंडपॉइंट में बिना प्रमाणीकरण वाले SQL इंजेक्शन (SQL Injection) के प्रति संवेदनशील है

CVE-2026-33616 mbCONNECT24 में एक महत्वपूर्ण सुरक्षा जोखिम दर्शाता है। एक अनधिकृत दूरस्थ हमलावर mb24api एंडपॉइंट में एक ब्लाइंड SQL इंजेक्शन भेद्यता का फायदा उठा सकता है, क्योंकि SQL SELECT कमांड में विशेष तत्वों को ठीक से निष्क्रिय नहीं किया गया है। इस भेद्यता का सफल शोषण संग्रहीत डेटा की गोपनीयता के पूर्ण नुकसान का कारण बन सकता है, जिसमें ग्राहक और परिचालन संवेदनशील जानकारी शामिल है। CVSS गंभीरता स्कोर 7.5 है, जो उच्च जोखिम दर्शाता है। उपलब्ध फिक्स की कमी से स्थिति और खराब हो जाती है, और जोखिम को कम करने के लिए तत्काल कार्रवाई की आवश्यकता होती है।

Organizations utilizing mbCONNECT24 for heating system management, particularly those with internet-exposed instances or those using default configurations, are at significant risk. Shared hosting environments where multiple customers share the same mbCONNECT24 instance are especially vulnerable, as a compromise of one customer could potentially impact others.

• linux / server:

journalctl -u mbCONNECT24 -g "SQL injection"

• generic web:

curl -I <mbCONNECT24_endpoint> | grep -i "SQL injection"

1. 2026-04-02Disclosure

   disclosure

1. आरक्षित2026-03-23
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-09

चूंकि CVE-2026-33616 के लिए विक्रेता से कोई आधिकारिक फिक्स प्रदान नहीं किया गया है, इसलिए mbCONNECT24 का उपयोग करने वाले संगठनों को वैकल्पिक जोखिम शमन उपायों को लागू करना होगा। इनमें mb24api एंडपॉइंट तक पहुंच को सीमित करने के लिए नेटवर्क विभाजन, दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) का कार्यान्वयन और एंडपॉइंट की संदिग्ध गतिविधि की निरंतर निगरानी शामिल है। हमले की सतह को कम करने के लिए नियमित सुरक्षा ऑडिट और न्यूनतम विशेषाधिकार के सिद्धांत को लागू किया जाना चाहिए। mbCONNECT24 विक्रेता से संपर्क करके सुरक्षा अपडेट का अनुरोध करना और भेद्यता की रिपोर्ट करना दृढ़ता से अनुशंसा की जाती है। यदि mb24api एंडपॉइंट संचालन के लिए आवश्यक नहीं है, तो अस्थायी रूप से इसे अक्षम करने पर विचार करें।