Betroffene Produkte

• devcode-it/openstamanager (Versionen: < 2.9.8)

CWE-Klassifizierung

• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

Details

Zusammenfassung

Eine kritische, zeitbasierte Blind-SQL-Injection-Schwachstelle, die mehrere Suchmodule in OpenSTAManager v2.9.8 betrifft, ermöglicht es authentifizierten Angreifern, vertrauliche Datenbankinhalte – darunter Passwort-Hashes, Kundendaten und Finanzunterlagen – mithilfe zeitbasierter Boolescher Inferenzangriffe mit verstärkter Ausführung über 10+ Module hinweg zu extrahieren.

Status: ✅ Bestätigt und an einer Live-Instanz getestet (v2.9.8) Angreifbarer Parameter: term (GET) Betroffener Endpunkt: /ajax_search.php Betroffene Module: Articoli, Ordini, DDT, Fatture, Preventivi, Anagrafiche, Impianti, Contratti, Automezzi, Interventi

Details

OpenSTAManager v2.9.8 enthält eine kritische, zeitbasierte Blind-SQL-Injection-Schwachstelle in der globalen Suchfunktion. Die Anwendung bereinigt den Parameter term nicht ordnungsgemäß, bevor er in SQL-LIKE-Klauseln mehrerer modulspezifischer Such-Handler verwendet wird. Dadurch können Angreifer beliebige SQL-Befehle einschleusen und über zeitbasierte Boolesche Inferenz vertrauliche Daten extrahieren.

Angriffskette:

1. Einstiegspunkt: /ajax_search.php (Zeile 30-31)

   root@kitploit:~

   $term = get('term');
   $term = str_replace('/', '\\/', $term);
   

   Der Parameter $term wird nur minimal bereinigt (lediglich Ersetzung von Schrägstrichen).

2. Verteilung: /src/AJAX.php::search() (Zeile 159-161)

   root@kitploit:~

   $files = self::find('ajax/search.php');
   array_unshift($files, base_dir().'/ajax_search.php');
   foreach ($files as $file) {
       $module_results = self::getSearchResults($file, $term);
   

   Der nicht bereinigte $term wird an alle modulspezifischen Such-Handler übergeben.

3. Ausführung: /src/AJAX.php::getSearchResults() (Zeile 373)

   root@kitploit:~

   require $file;
   

   Die search.php-Datei jedes Moduls wird eingebunden, wobei die Variable $term im Gültigkeitsbereich liegt.

4. Angreifbare SQL-Abfragen: Mehrere Module verketten $term direkt, ohne prepare() zu verwenden

Alle betroffenen Dateien (10+ angreifbare Instanzen):

1. /modules/articoli/ajax/search.php - Zeile 51 (PRIMÄRES BEISPIEL)

   root@kitploit:~

   foreach ($fields as $name => $value) {
       $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   }
   $rs = $dbo->fetchArray($query);
   

   Auswirkung: Direkte Verkettung ohne prepare() ermöglicht vollständige SQL-Injection.

2. /modules/ordini/ajax/search.php - Zeilen 43, 47

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   $query .= '... WHERE `mg_articoli`.`codice` LIKE "%'.$term.'%" OR `mg_articoli_lang`.`title` LIKE "%'.$term.'%"';
   

3. /modules/ddt/ajax/search.php - Zeilen 43, 47

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

4. /modules/fatture/ajax/search.php - Zeilen 45, 49

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

5. /modules/preventivi/ajax/search.php - Zeilen 45, 49

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

6. /modules/anagrafiche/ajax/search.php - Zeilen 62, 107, 162

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

7. /modules/impianti/ajax/search.php - Zeile 46

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

Korrekt bereinigt (NICHT angreifbar):

• /modules/contratti/ajax/search.php - Verwendet prepare() korrekt
• /modules/automezzi/ajax/search.php - Verwendet prepare() korrekt

Hinweis: Die Schwachstelle weist eine verstärkte Ausführung auf – eine einzelne schädliche Anfrage löst SQL-Injection in ALLEN angreifbaren Modulen gleichzeitig aus. Dadurch werden zeitbasierte Angriffe pro Anfrage 10+ Mal ausgeführt, was die Verzögerung vervielfacht und – wie auf der Live-Demo-Instanz beobachtet – zu 504 Gateway Time-out-Fehlern führt.

PoC

Schritt 1: Anmeldung

Schritt 2: Schwachstelle verifizieren (zeitbasiertes SLEEP)

Schritt 3: Datenextraktion - Datenbankname

Auswirkung

Betroffene Benutzer: Alle authentifizierten Benutzer mit Zugriff auf die globale Suchfunktion.

• Vollständige Exfiltration der Datenbank, einschließlich personenbezogener Kundendaten (PII), Finanzunterlagen und Geschäftsgeheimnisse
• Extraktion von Passwort-Hashes für Offline-Cracking
• Verstärkte zeitbasierte Angriffe verbrauchen pro Anfrage 85x Serverressourcen

Empfohlene Korrektur:

Ersetzen Sie alle Vorkommen der direkten $term-Verkettung durch prepare():

VORHER (Angreifbar):

NACHHER (Behoben):

Wenden Sie diese Korrektur auf ALLE betroffenen Dateien an:

1. /modules/articoli/ajax/search.php - Zeile 51
2. /modules/ordini/ajax/search.php - Zeilen 43, 47, 79
3. /modules/ddt/ajax/search.php - Zeilen 43, 47, 83
4. /modules/fatture/ajax/search.php - Zeilen 45, 49, 85
5. /modules/preventivi/ajax/search.php - Zeilen 45, 49, 83
6. /modules/anagrafiche/ajax/search.php - Zeilen 62, 107, 162
7. /modules/impianti/ajax/search.php - Zeile 46

Referenzen

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-4hc4-8599-xh2h
• https://nvd.nist.gov/vuln/detail/CVE-2026-24417
• https://github.com/advisories/GHSA-4hc4-8599-xh2h

Haftungsausschluss

Die Offenlegung dieser CVE erfolgte verantwortungsvoll und im Einklang mit den Praktiken der koordinierten Offenlegung von Schwachstellen. Die hier bereitgestellten Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken.