CVE-2025-41373 – Injection SQL dans Gandia Integra Total

Auteur : Byte Reaper
CVE : CVE-2025-41373
Vulnérabilité : Injection SQL authentifiée
Chemin affecté : /encuestas/integraweb_v4/integra/html/view/hislistadoacciones.php?idestudio=

Description :
Ce point de terminaison concatène le paramètre idestudio directement dans une requête SQL sans assainissement ni paramétrisation appropriés, permettant à un attaquant d'injecter du SQL arbitraire. Cette PoC exploite à la fois des techniques basées sur le booléen et sur le temps pour détecter et démontrer la vulnérabilité.

Utilisation

# Build
gcc exploit.c argparse.c -o exploit -lcurl

# Run exploit against <URL>
./exploit -u <URL>

# Verbose output
./exploit -u <URL> -v

# WAF detection mode
./exploit -u <URL> -w
Remplacez <URL> par l'URL de base cible (par exemple http://127.0.0.1).

Références :

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-41373

• incibe : https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-gandia-integra-total-tesi

Licence :

Licence MIT