प्रभावित संस्करण:

• Frappe — 15.72.4
• ERPNext — 15.67.0

🚀 प्रूफ ऑफ कॉन्सेप्ट (PoC) — त्रुटि-आधारित SQL इंजेक्शन

✅ केवल उन सिस्टम्स पर परीक्षण करें जिनके स्वामी आप हैं या जिनके लिए आपके पास स्पष्ट अनुमति है। सहमति के बिना उत्पादन सिस्टम के विरुद्ध उपयोग न करें।

❗ पेलोड (URL-एन्कोडेड):

उदाहरण JSON बॉडी (POST अनुरोध):

यह पुष्टि करता है कि SQL इंजेक्शन सफलतापूर्वक निष्पादित किया गया है और वर्तमान डेटाबेस का नाम लीक हो गया है।

🧪 शोषण परिदृश्य

1. एक हमलावर बुनियादी अनुमतियों (जैसे, मानक रिपोर्ट्स तक पहुँच) के साथ ERPNext/Frappe इंस्टेंस में लॉग इन करता है।
2. एक क्राफ्टेड POST अनुरोध /api/method/frappe.desk.reportview.get पर दुर्भावनापूर्ण order_by या group_by पेलोड के साथ भेजा जाता है।
3. बैकएंड इस मान को बिना सैनिटाइज़ेशन के सीधे SQL क्वेरी में इंजेक्ट करता है।
4. हमलावर को इंजेक्टेड आउटपुट प्रकट करने वाली डेटाबेस त्रुटि दिखाई देती है — इंजेक्शन की पुष्टि होती है।
5. अंतर्निहित डेटाबेस कॉन्फ़िगरेशन के आधार पर, उसी तकनीक को समय-आधारित पेलोड, UNION-आधारित इंजेक्शन, या विशेषाधिकार वृद्धि पथों के साथ जोड़ा जा सकता है।

🔐 शमन अनुशंसाएँ

1. पैरामीटराइज़्ड क्वेरीज़ का उपयोग करें: सभी उपयोगकर्ता इनपुट को सुरक्षित रूप से बाउंड किया जाना चाहिए और कभी भी सीधे SQL क्वेरीज़ में संयोजित नहीं किया जाना चाहिए।
2. सख्त इनपुट सत्यापन: प्रोसेसिंग से पहले order_by और group_by को स्वीकार्य कॉलम नामों की ज्ञात अनुमत सूची के विरुद्ध सत्यापित करें।
3. पहचानकर्ताओं को उचित रूप से एस्केप करें: यदि गतिशील उपयोग आवश्यक है तो कॉलम/फ़ील्ड पहचानकर्ताओं के लिए DBMS-विशिष्ट एस्केपिंग का उपयोग करें।
4. एक्सपोज़र कम करें: उपयोगकर्ता भूमिकाओं और विश्वास स्तरों के आधार पर /reportview.get API और रिपोर्ट सुविधाओं तक पहुँच प्रतिबंधित करें।
5. लॉग सैनिटाइज़ करें: ऑडिट सिस्टम में रिसाव को रोकने के लिए कच्चे इंजेक्शन पेलोड को लॉग करने से बचें।
6. API अनुरोधों की दर सीमित करें: ब्लाइंड या त्रुटि-आधारित एन्यूमरेशन प्रयासों के प्रभाव को कम करने के लिए उच्च-आवृत्ति API कॉल्स को थ्रॉटल करें।
7. पैच लागू करें: Frappe अनुरक्षकों को इस एंडपॉइंट को सुरक्षित करने वाला पैच जारी करना चाहिए और अन्य frappe.desk विधियों का ऑडिट करना चाहिए। ऑपरेटरों को पैच उपलब्ध होते ही अपग्रेड करना चाहिए।

🔗 संदर्भ

• खोजकर्ता: मोहम्मद अलोली

  • GitHub: MoAlali
  • X (Twitter): @alaliksa_

• Frappe Framework: https://github.com/frappe/frappe

• ERPNext प्रोजेक्ट: https://github.com/frappe/erpnext

• OWASP SQL इंजेक्शन चीट शीट: https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html

📢 अस्वीकरण

यह सलाह केवल शैक्षिक और रक्षात्मक सुरक्षा अनुसंधान उद्देश्यों के लिए प्रकाशित की गई है। बिना प्राधिकरण के इस कमजोरी का शोषण करना अवैध और अनैतिक है। यदि आप ERPNext या Frappe के डेवलपर या व्यवस्थापक हैं, तो अनुशंसित शमन उपाय तुरंत लागू करें और असामान्य API उपयोग की निगरानी करें।