Prodotti interessati

• devcode-it/openstamanager (versioni: < 2.9.8)

Classificazione CWE

• CWE-89: Neutralizzazione non corretta di elementi speciali usati in un comando SQL ('SQL Injection')

Dettagli

Riepilogo

Una vulnerabilità critica di Blind SQL Injection basata sul tempo che interessa molteplici moduli di ricerca in OpenSTAManager v2.9.8 consente ad attaccanti autenticati di estrarre contenuti sensibili del database, inclusi hash di password, dati dei clienti e registri finanziari, tramite attacchi di inferenza booleana basati sul tempo con esecuzione amplificata su oltre 10 moduli.

Stato: ✅ Confermata e testata su istanza live (v2.9.8) Parametro vulnerabile: term (GET) Endpoint interessato: /ajax_search.php Moduli interessati: Articoli, Ordini, DDT, Fatture, Preventivi, Anagrafiche, Impianti, Contratti, Automezzi, Interventi

Dettagli

OpenSTAManager v2.9.8 contiene una vulnerabilità critica di Blind SQL Injection basata sul tempo nella funzionalità di ricerca globale. L'applicazione non riesce a sanificare correttamente il parametro term prima di utilizzarlo nelle clausole SQL LIKE in molteplici gestori di ricerca specifici per modulo, consentendo agli attaccanti di iniettare comandi SQL arbitrari ed estrarre dati sensibili tramite inferenza booleana basata sul tempo.

Catena della vulnerabilità:

1. Punto di ingresso: /ajax_search.php (Righe 30-31)

   root@kitploit:~

   $term = get('term');
   $term = str_replace('/', '\\/', $term);
   

   Il parametro $term subisce una sanificazione minima (solo la sostituzione della barra).

2. Distribuzione: /src/AJAX.php::search() (Righe 159-161)

   root@kitploit:~

   $files = self::find('ajax/search.php');
   array_unshift($files, base_dir().'/ajax_search.php');
   foreach ($files as $file) {
       $module_results = self::getSearchResults($file, $term);
   

   Il $term non sanificato viene passato a tutti i gestori di ricerca specifici per modulo.

3. Esecuzione: /src/AJAX.php::getSearchResults() (Riga 373)

   root@kitploit:~

   require $file;
   

   Il file search.php di ogni modulo viene incluso con la variabile $term nello scope.

4. Query SQL vulnerabili: Più moduli concatenano direttamente $term senza prepare()

Tutti i file interessati (10+ istanze vulnerabili):

1. /modules/articoli/ajax/search.php - Riga 51 (ESEMPIO PRINCIPALE)

   root@kitploit:~

   foreach ($fields as $name => $value) {
       $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   }
   $rs = $dbo->fetchArray($query);
   

   Impatto: Concatenazione diretta senza prepare(), consente la piena SQL injection.

2. /modules/ordini/ajax/search.php - Righe 43, 47

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   $query .= '... WHERE `mg_articoli`.`codice` LIKE "%'.$term.'%" OR `mg_articoli_lang`.`title` LIKE "%'.$term.'%"';
   

3. /modules/ddt/ajax/search.php - Righe 43, 47

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

4. /modules/fatture/ajax/search.php - Righe 45, 49

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

5. /modules/preventivi/ajax/search.php - Righe 45, 49

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

6. /modules/anagrafiche/ajax/search.php - Righe 62, 107, 162

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

7. /modules/impianti/ajax/search.php - Riga 46

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

Correttamente sanificati (NON vulnerabili):

• /modules/contratti/ajax/search.php - Usa correttamente prepare()
• /modules/automezzi/ajax/search.php - Usa correttamente prepare()

Nota: La vulnerabilità ha esecuzione amplificata: una singola richiesta malevola innesca la SQL injection in TUTTI i moduli vulnerabili simultaneamente, causando l'esecuzione di attacchi basati sul tempo 10+ volte per richiesta, moltiplicando il ritardo e portando a errori 504 Gateway Time-out come osservato sull'istanza demo live.

PoC

Passaggio 1: Login

Passaggio 2: Verifica della vulnerabilità (SLEEP basato sul tempo)

Passaggio 3: Estrazione dei dati - Nome del database

Impatto

Utenti interessati: Tutti gli utenti autenticati con accesso alla funzionalità di ricerca globale.

• Esfiltrazione completa del database, inclusi dati personali dei clienti, registri finanziari e segreti aziendali
• Estrazione di hash di password per il cracking offline
• Gli attacchi basati sul tempo amplificati consumano 85x le risorse del server per richiesta

Correzione consigliata:

Sostituisci tutte le istanze di concatenazione diretta di $term con prepare():

PRIMA (Vulnerabile):

DOPO (Corretta):

Applica questa correzione a TUTTI i file interessati:

1. /modules/articoli/ajax/search.php - Riga 51
2. /modules/ordini/ajax/search.php - Righe 43, 47, 79
3. /modules/ddt/ajax/search.php - Righe 43, 47, 83
4. /modules/fatture/ajax/search.php - Righe 45, 49, 85
5. /modules/preventivi/ajax/search.php - Righe 45, 49, 83
6. /modules/anagrafiche/ajax/search.php - Righe 62, 107, 162
7. /modules/impianti/ajax/search.php - Riga 46

Riferimenti

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-4hc4-8599-xh2h
• https://nvd.nist.gov/vuln/detail/CVE-2026-24417
• https://github.com/advisories/GHSA-4hc4-8599-xh2h

Dichiarazione di non responsabilità

Questa CVE è stata divulgata in modo responsabile seguendo le pratiche di divulgazione coordinata delle vulnerabilità. Le informazioni fornite qui sono solo a scopo educativo e difensivo.