CVE-2025-69216
उच्चप्रकाशित
OpenSTAManager में Scadenzario Print Template में SQL इंजेक्शन है
- प्रकाशित
- 6 फ़र॰ 2026
- अद्यतन
- 9 फ़र॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
8.7/ 10उच्च
OpenSTAManager में Scadenzario Print Template में SQL इंजेक्शन है
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
OpenSTAManager एक ओपन सोर्स प्रबंधन सॉफ्टवेयर है जो तकनीकी सहायता और इनवॉइसिंग के लिए उपयोग किया जाता है। संस्करण 2.9.8 और इससे पहले के संस्करणों में, OpenSTAManager के Scadenzario (भुगतान अनुसूची) प्रिंट टेम्पलेट में एक प्रमाणित SQL इंजेक्शन भेद्यता मौजूद है, जो किसी भी प्रमाणित उपयोगकर्ता को डेटाबेस से संवेदनशील डेटा निकालने की अनुमति देती है, जिसमें एडमिन क्रेडेंशियल, ग्राहक जानकारी और वित्तीय रिकॉर्ड शामिल हैं। यह भेद्यता templates/scadenzario/init.php में मौजूद है, जहाँ id_anagrafica पैरामीटर को उचित सैनिटाइज़ेशन के बिना सीधे SQL क्वेरी में जोड़ा जाता है। यह भेद्यता त्रुटि-आधारित SQL इंजेक्शन तकनीकों के माध्यम से डेटाबेस तक पूर्ण पढ़ने की पहुँच सक्षम बनाती है।
CVE-2025-69216 के लिए प्रूफ-ऑफ-कॉन्सेप्ट रिपॉजिटरी, जो OpenSTAManager के Scadenzario प्रिंट टेम्पलेट में एक प्रमाणित SQL इंजेक्शन है, जो एरर-आधारित और ब्लाइंड SQLi के माध्यम से एडमिन क्रेडेंशियल्स और डेटाबेस सामग्री के निष्कर्षण को सक्षम बनाता है।
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।