CVE-2025-69212

Description

OpenSTAManager est une solution logicielle de gestion pour l'assistance technique, la facturation électronique et la comptabilité. Les versions <=2.9.8 sont vulnérables à une vulnérabilité d'exécution de code à distance authentifiée. Un attaquant peut exploiter ce problème en téléchargeant une archive .zip spécialement conçue contenant un fichier .p7m dont le nom de fichier peut être interprété comme des commandes shell, entraînant l'exécution arbitraire de commandes sur le serveur distant.

Utilisation

Prérequis

$ pip install requests

Utilisation du proof-of-concept

$ python3 exploit.py [-h] --user USER --password PASSWORD [--target TARGET] [--cmd CMD]

Exemple :

$ python3 exploit.py --user="admin" --password="admin" --target="http://example.com/" --cmd="id"

Options

-h, --help           show this help message and exit
--user USER          username for auth.
--password PASSWORD  password for auth.
--target TARGET      target domain endpoint
--cmd CMD            command to execute on the server

Références

• nvd.nist.gov/vuln/detail/CVE-2025-69212
• github.com/devcode-it/openstamanager/security/advisories/GHSA-25fp-8w8p-mx36