CVE-2025-50341 : Injection SQL dans Axelor

CVE ID: CVE-2025-50341
Rapporteur : Milad Seddigh
Produit : Axelor
Versions concernées : v5.2.4
Impact : Injection SQL → exfiltration du contenu de la base de données.

Résumé

Une vulnérabilité d'injection SQL basée sur des conditions booléennes a été découverte dans le paramètre “_domain” d'Axelor. Un attaquant peut manipuler la logique de la requête SQL et déterminer des conditions vraies/fausses, pouvant potentiellement mener à une exposition des données ou à une exploitation plus poussée.

Étapes de reproduction

1- Connectez-vous à votre compte. 2- Interceptez les requêtes qui incluent le paramètre “_domain” dans le corps. 3- Insérez une charge utile booléenne (ou 1=1) dans le paramètre “domain”. 4- Insérez une charge utile booléenne (ou 1=2) dans le paramètre “domain”. 5- Observez la différence de réponse du serveur entre les cas 1=1 et 1=2. 6- Extrayez tout le contenu de la base de données.

Atténuation

1. Utiliser des requêtes paramétrées / des instructions préparées Assurez-vous que toutes les requêtes SQL sont construites à l'aide d'instructions paramétrées ou de requêtes préparées. Cette approche sépare la logique SQL des entrées utilisateur et empêche l'injection.
2. Utiliser des bibliothèques ORM (le cas échéant) L'utilisation de bibliothèques ORM modernes (Object-Relational Mapping) (par exemple, Sequelize, Prisma, TypeORM) peut aider à abstraire le SQL brut et à appliquer des pratiques de requête sécurisées.
3. Valider et nettoyer les entrées Appliquez une validation stricte des entrées en fonction du contexte (par exemple, un ID numérique ne doit contenir que des chiffres). Rejetez ou nettoyez les entrées qui ne respectent pas le format attendu. Utilisez des listes autorisées plutôt que des listes bloquées pour la validation.