CVE-2025-50341: SQL-Injection auf Axelor

CVE ID: CVE-2025-50341
Berichterstatter: Milad Seddigh
Produkt: Axelor
Betroffene Versionen: v5.2.4
Auswirkung: SQL-Injection → Exfiltrieren von Datenbankinhalten.

Zusammenfassung

Eine auf Boolescher Logik basierende SQL-Injection-Schwachstelle wurde im Parameter „_domain“ von Axelor entdeckt. Ein Angreifer
kann die SQL-Abfragelogik manipulieren und Wahr/Falsch-Bedingungen ermitteln, was potenziell zur Offenlegung von Daten oder weiterer Ausnutzung führen kann.

Schritte zur Reproduktion

1- Melden Sie sich bei Ihrem Konto an. 2- Fangen Sie die Anfragen ab, die den Parameter „_domain“ im Body enthalten. 3- Fügen Sie ein Boolesches Payload (or 1=1) in den Parameter „domain“ ein. 4- Fügen Sie ein Boolesches Payload (or 1=2) in den Parameter „domain“ ein. 5- Beobachten Sie den Unterschied in der Serverantwort zwischen 1=1 und 1=2. 6- Dumpen Sie alle Datenbankinhalte.

Abhilfemaßnahmen

1. Verwenden Sie parametrisierte Abfragen / Prepared Statements Stellen Sie sicher, dass alle SQL-Abfragen mit parametrisierten Anweisungen oder vorbereiteten Abfragen erstellt werden. Dieser Ansatz trennt die SQL-Logik von der Benutzereingabe und verhindert Injection.
2. Verwenden Sie ORM-Bibliotheken (wo angemessen) Die Verwendung moderner ORM-Bibliotheken (z. B. Sequelize, Prisma, TypeORM) kann helfen, rohes SQL zu abstrahieren und sichere Abfragepraktiken durchzusetzen.
3. Validieren und bereinigen Sie Eingaben Erzwingen Sie eine strenge Eingabevalidierung basierend auf dem Kontext (z. B. numerische ID darf nur Ziffern enthalten). Lehnen Sie Eingaben ab oder bereinigen Sie sie, die nicht dem erwarteten Format entsprechen. Verwenden Sie Zulassungslisten (Allow-lists) anstelle von Blocklisten für die Validierung.