TREX-MES-Uygulamalarında-SQLi-Zafiyeti (CVE-2026-18782)

Panoramica

TREX MES è una piattaforma commerciale di Manufacturing Execution System (MES) / Industria 4.0 utilizzata per raccogliere e gestire i dati dal campo di produzione. L'API web dell'applicazione esegue direttamente il parametro sql proveniente dal client sul backend Microsoft SQL Server e restituisce il set di risultati in formato JSON.

Impatto

Un utente autenticato con privilegi ridotti — o qualsiasi attaccante che ottenga un token di sessione tramite il bypass di autenticazione descritto di seguito — può:

• Leggere, modificare o eliminare i dati in tutti i database presenti sull'istanza SQL Server. Ciò non è limitato al solo database dell'applicazione; comprende anche i database di produzione, finanziari e del personale.
• Ottenere le credenziali utente memorizzate. Le password non sono hashate, ma memorizzate con uno spostamento basato su caratteri e banalmente reversibile; pertanto è possibile recuperare in chiaro tutte le password degli account.
• Tramite xp_cmdshell, eseguire comandi arbitrari del sistema operativo nel contesto dell'account di servizio di SQL Server. Nell'installazione testata, questo account dispone del privilegio SeImpersonatePrivilege, il che consente l'elevazione a NT AUTHORITY\SYSTEM e la compromissione completa del server, nonché la creazione di un punto d'appoggio per il movimento laterale nella rete interna.

Poiché il sistema interessato è una piattaforma di esecuzione della produzione, la possibilità di modificare inosservatamente i registri di produzione e qualità comporta un rischio operativo e di continuità aziendale che va oltre il consueto impatto IT.

Debolezze Correlate

Il flusso di accesso della stessa API seleziona la colonna Password e la restituisce al browser, e il confronto delle password viene effettuato lato client. Questo comportamento, combinato con la vulnerabilità di query di cui sopra, consente di iniettare un record sintetico con la password e il flag di amministratore specificati dall'attaccante tramite una clausola basata su UNION inviata dal campo username; di conseguenza si verifica un completo bypass dell'autenticazione senza conoscere alcuna credenziale valida. Questo comportamento è stato verificato nell'installazione testata.

• CWE-89 — Neutralizzazione Impropria di Elementi Speciali utilizzati in un Comando SQL
• CWE-602 — Applicazione della Sicurezza Lato Server sul Lato Client
• CWE-522 — Credenziali Protette in Modo Inadeguato
• CWE-250 — Esecuzione con Privilegi Non Necessari

Gravità

Critica — Punteggio Base CVSS 3.1 9.9 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)

Versioni Interessate

trex MES v.6.07.17.00090 e precedenti

TrexDCAS MES v.6.05.14.00074 e precedenti

Componente Interessato

/api/GetDataJSON3 e /api/GetDataJSONCrypto3 — logica di elaborazione del parametro sql di origine client nel livello del servizio web

Misure di Mitigazione

Fino alla pubblicazione della correzione da parte del produttore, si raccomanda agli operatori di applicare quanto segue:

1. Bloccare entrambi gli endpoint a livello di reverse proxy o di WAF. La vulnerabilità è di natura architetturale e non può essere risolta con il filtraggio dell'input.
2. Disabilitare la funzionalità xp_cmdshell (sp_configure 'xp_cmdshell', 0) e rivedere altri componenti atti all'esecuzione di comandi, come OLE Automation Procedures e l'integrazione CLR.
3. Rimuovere il ruolo sysadmin dall'account del database dell'applicazione e concedere solo i privilegi minimi a livello di oggetto effettivamente necessari.
4. Reimpostare le password di tutti gli utenti dell'applicazione; le credenziali memorizzate devono essere considerate recuperabili.
5. Limitare l'accesso di rete alle porte dell'applicazione e del database ai soli sistemi che ne hanno effettivamente bisogno.

Per una soluzione definitiva, il produttore deve spostare la costruzione delle query sul lato server utilizzando istruzioni parametrizzate, eseguire l'autenticazione sul server e memorizzare le password con un algoritmo di hash salato e ad elevato costo computazionale.

Identificativo CVE

CVE-2026-18782

Scopritore

Hasan Hüseyin UYAR – Netlore Security

Cronologia delle Divulgazioni

Data	Evento
2026-07-30	La vulnerabilità è stata individuata e verificata durante un test di penetrazione autorizzato
2026-08-04	Assegnato l'identificativo CVE-2026-18782.
2026-09-30	Pubblicata con l'identificativo https://www.cve.org/CVERecord?id=CVE-2026-18782.