CVE-2026-25993 — Laboratorio de inyección SQL de segundo orden de EverShop

Requisitos previos

• Docker Engine 24+ con Docker Compose v2+
• 2 GB de RAM libre

Despliegue

cd EverShop-Lab/
docker compose up

Espera ~2 minutos para la primera compilación (clona EverShop v2.1.0, compila, ejecuta las migraciones y siembra los datos).

La aplicación estará disponible en http://localhost:3000.

Credenciales

Detener / Restablecer

# Stop the lab (keep data)
docker compose down

# Stop and delete all data (fresh start next time)
docker compose down -v

# Rebuild from scratch
docker compose down -v
docker compose up -d --build

La vulnerabilidad

CVE-2026-25993 es una inyección SQL de segundo orden en el procesamiento de reescritura de URL de categorías de EverShop. El campo url_key solo valida ^\S+$ (sin espacios en blanco), lo que permite metacaracteres SQL. Cuando se actualiza una categoría, un suscriptor de eventos construye SQL crudo mediante concatenación de cadenas, ejecutando el url_key almacenado en la base de datos.

Objetivo

Volcar toda la base de datos. Sin banderas. Tu objetivo:

1. Extraer la cadena de versión de PostgreSQL (prueba de inyección)
2. Enumerar todas las tablas de la base de datos
3. Extraer los datos de las filas de las tablas clave (admin_user, customer, product, etc.)

Pista

El campo url_key de las categorías rechaza los espacios, pero acepta ' y ||. Cuando se actualiza una categoría, un suscriptor de eventos concatena ese url_key en una llamada SQL cruda REPLACE(). Crea una categoría principal, añade una categoría secundaria debajo de ella y luego actualiza el url_key de la principal — el resultado termina en la entrada url_rewrite de la categoría secundaria después de ~15 segundos.

Referencias

• CVE-2026-25993
• Aviso de GitHub GHSA-3h84-9rhc-j2ch
• Repositorio de EverShop