CVE-2025-69212

Beschreibung

OpenSTAManager ist eine Verwaltungssoftware-Lösung für technischen Support, elektronische Rechnungsstellung und Buchhaltung. Die Versionen <=2.9.8 sind anfällig für eine Schwachstelle, die eine authentifizierte Remote-Codeausführung ermöglicht. Ein Angreifer kann dieses Problem ausnutzen, indem er ein speziell präpariertes .zip-Archiv hochlädt, das eine .p7m-Datei enthält, deren Dateiname als Shell-Befehle interpretiert werden kann, was zur Ausführung beliebiger Befehle auf dem entfernten Server führt.

Verwendung

Anforderung

$ pip install requests

Proof-of-Concept-Verwendung

$ python3 exploit.py [-h] --user USER --password PASSWORD [--target TARGET] [--cmd CMD]

Beispiel:

$ python3 exploit.py --user="admin" --password="admin" --target="http://example.com/" --cmd="id"

Optionen

-h, --help           show this help message and exit
--user USER          username for auth.
--password PASSWORD  password for auth.
--target TARGET      target domain endpoint
--cmd CMD            command to execute on the server

Referenzen

• nvd.nist.gov/vuln/detail/CVE-2025-69212
• github.com/devcode-it/openstamanager/security/advisories/GHSA-25fp-8w8p-mx36