🚨 CVE-2026-42569 - Cancellazione del database non autenticata in phpVMS

Cancellazione del database non autenticata / Import distruttivo in phpVMS

📌 Panoramica

CVE-2026-42569 è una vulnerabilità critica in phpVMS (Virtual Airline Management System) che consente a attaccanti non autenticati di accedere a endpoint di import legacy.

Questi endpoint dovevano essere limitati ma rimangono accessibili nelle versioni ≤ 7.0.5, potenzialmente consentendo agli attaccanti di attivare cancellazioni di massa o operazioni di pulizia del database.

🛠 Versioni Affette

⚠️ Impatto

• Accesso non autenticato
• Cancellazione di massa di voli, utenti, pianificazioni e altri dati critici
• Possibile pulizia completa del database (operazioni TRUNCATE / DELETE)
• Compromissione completa del sistema della compagnia aerea virtuale

🧪 Utilizzo del PoC

python3 CVE-2026-42569.py http://target.com

Esempio di output (Successo):

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ Mitigazione

1. Aggiorna immediatamente a phpVMS 7.0.6 o successivo.
2. Rimuovi o limita l'accesso agli endpoint /importer e /import.
3. Blocca l'accesso alle route di import legacy nel tuo web server (Nginx/Apache).
4. Esegui regolarmente il backup del tuo database.

🔧 Soluzione temporanea rapida (Nginx)

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ Avvertenza

Questo repository è solo per test di sicurezza educativi e autorizzati.
L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo strumento.
Lo sfruttamento non autorizzato è illegale.