Productos afectados

• devcode-it/openstamanager (versiones: <= 2.9.8)

Clasificación CWE

• CWE-89: Neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL')

Detalles

Resumen

Una vulnerabilidad crítica de inyección SQL basada en errores en el módulo de operaciones masivas Scadenzario (Calendario de pagos) de OpenSTAManager v2.9.8 permite a atacantes autenticados extraer el contenido completo de la base de datos, incluidas credenciales de usuario, datos personales (PII) de clientes y registros financieros, a través de mensajes de error XML.

Estado: ✅ Confirmado y probado en instancia real (v2.9.8) Parámetro vulnerable: id_records[] (array POST) Endpoint afectado: /actions.php?id_module=18 (módulo Scadenzario) Tipo de ataque: Inyección SQL basada en errores (cláusula IN)

Detalles

OpenSTAManager v2.9.8 contiene una vulnerabilidad crítica de inyección SQL basada en errores en el controlador de operaciones masivas del módulo Scadenzario (Calendario de pagos). La aplicación no valida que los elementos del array id_records sean enteros antes de usarlos en una cláusula SQL IN(), lo que permite a los atacantes inyectar comandos SQL arbitrarios y extraer datos confidenciales a través de mensajes de error XPATH.

Cadena de vulnerabilidad:

1. Punto de entrada: /actions.php (Líneas 503-506)

   root@kitploit:~

   $id_records = post('id_records');
   $id_records = is_array($id_records) ? $id_records : explode(';', $id_records);
   $id_records = array_clean($id_records);
   $id_records = array_unique($id_records);
   

   La función array_clean() solo elimina valores vacíos; NO valida tipos.

2. Función vulnerable: /lib/util.php (Líneas 54-60)

   root@kitploit:~

   function array_clean($array)
   {
       if (!empty($array)) {
           return array_unique(array_values(array_filter($array, fn ($value) => !empty($value))));
       }
   }
   

   Impacto: La función filtra los valores vacíos, pero acepta cualquier valor no vacío, incluidos payloads de inyección SQL.

3. Punto de inyección SQL: /modules/scadenzario/bulk.php (Línea 88) VULNERABILIDAD PRINCIPAL

   root@kitploit:~

   $scadenze = $database->FetchArray('SELECT * FROM co_scadenziario LEFT JOIN (SELECT id as id_nota, ref_documento FROM co_documenti)as nota ON co_scadenziario.iddocumento = nota.ref_documento WHERE co_scadenziario.id IN ('.implode(',', $id_records).') AND pagato < da_pagare AND nota.id_nota IS NULL ORDER BY idanagrafica, iddocumento');
   

   Impacto: Los elementos del array $id_records se concatenan directamente con implode() sin validación de tipos ni prepare(), lo que permite una inyección SQL completa.

Análisis de causa raíz:

La vulnerabilidad existe porque:

1. post('id_records') devuelve un array controlado por el usuario
2. array_clean() solo elimina valores vacíos, no valores no enteros
3. implode(',', $id_records) concatena los elementos del array directamente en SQL
4. No hay ninguna validación que garantice que los elementos del array sean enteros
5. El atacante puede inyectar SQL proporcionando: id_records[]=1&id_records[]=(MALICIOUS SQL)#

Ruta de código afectada:

PoC

Paso 1: Inicio de sesión

Paso 2: Verificar la vulnerabilidad (Inyección SQL basada en errores)

Prueba 1: Extraer usuario y versión de la base de datos

Respuesta (mensaje de error visible para el atacante):

Prueba 2: Extraer credenciales de administrador

Respuesta:

Prueba 3: Extraer hash de contraseña (Parte 1 - primeros 31 caracteres)

Respuesta:

Prueba 4: Extraer hash de contraseña (Parte 2 - caracteres 32-60)

Respuesta:

Hash de contraseña combinado:

Impacto

**Todos los usuarios autenticados con acceso a las operaciones masivas del módulo Scadenzario (Calendario de pagos).

Corrección recomendada:

Corrección principal - Validación de tipos:

Archivo: /modules/scadenzario/bulk.php

ANTES (Vulnerable - Línea 88):

DESPUÉS (Corregido):

Créditos

Descubierto por Łukasz Rybak

Referencias

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-4xwv-49c8-fvhq
• https://nvd.nist.gov/vuln/detail/CVE-2026-24418
• https://github.com/advisories/GHSA-4xwv-49c8-fvhq

Descargo de responsabilidad

Este CVE fue divulgado de forma responsable siguiendo prácticas coordinadas de divulgación de vulnerabilidades. La información aquí proporcionada tiene fines exclusivamente educativos y de defensa.