CVE-2025-50341: Inyección SQL en Axelor

ID CVE: CVE-2025-50341
Reportero: Milad Seddigh
Producto: Axelor
Versiones afectadas: v5.2.4
Impacto: Inyección SQL → exfiltración del contenido de la base de datos.

Resumen

Se descubrió una vulnerabilidad de inyección SQL basada en booleanos en el parámetro "_domain" de Axelor. Un atacante puede manipular la lógica de la consulta SQL y determinar condiciones verdadero/falso, lo que podría llevar a la exposición de datos o a una mayor explotación.

Pasos para reproducir

1- Inicia sesión en tu cuenta. 2- Intercepta las solicitudes que incluyan el parámetro "_domain" en el cuerpo. 3- Inserta una carga booleana (or 1=1) en el parámetro "domain". 4- Inserta una carga booleana (or 1=2) en el parámetro "domain". 5- Observa la diferencia en la respuesta del servidor cuando se usa 1=1 y 1=2. 6- Vuelca todo el contenido de la base de datos.

Mitigación

1. Usar consultas parametrizadas / declaraciones preparadas Asegúrate de que todas las consultas SQL se construyan utilizando declaraciones parametrizadas o consultas preparadas. Este enfoque separa la lógica SQL de la entrada del usuario y previene la inyección.
2. Emplear bibliotecas ORM (donde sea apropiado) El uso de bibliotecas ORM modernas (p. ej., Sequelize, Prisma, TypeORM) puede ayudar a abstraer el SQL en bruto y aplicar prácticas seguras de consulta.
3. Validar y desinfectar la entrada Impón una validación estricta de entrada basada en el contexto (p. ej., el ID numérico solo debe contener dígitos). Rechaza o desinfecta las entradas que no cumplan con el formato esperado. Utiliza listas de permitidos en lugar de listas de bloqueados para la validación.