maliktawfiq/cve-2025-22953EPICOR HCM SQL Injection Cieca Non Autenticata CVE-2025-22953
Epicor ha rilasciato ufficialmente una patch che risolve questa vulnerabilità. A tutti gli utenti interessati è fortemente consigliato di applicare l'aggiornamento immediatamente.
🔗 Annuncio della patch di sicurezza Epicor
Una vulnerabilità di SQL Injection cieca non autenticata è presente nel software Epicor HCM, versione 2021 1.9 (versione testata, altre versioni potrebbero essere interessate), in particolare nel parametro filter dell'endpoint JsonFetcher.svc.
Un attaccante può sfruttare questa falla per iniettare payload SQL dannosi ed eseguire query arbitrarie sul database backend senza autenticazione.
Se alcune funzionalità (come xp_cmdshell) sono abilitate, ciò può portare a esecuzione di codice remota.
JsonFetcher.svcfilterSebbene questa vulnerabilità sia stata divulgata pubblicamente e le sia stato assegnato un ID CVE, nessuna prova di concetto pubblica verrà rilasciata al momento.
Sebbene il vendor abbia rilasciato una patch, sembra che non tutte le versioni interessate siano coperte e alcuni clienti potrebbero essere ancora a rischio.
Nel tentativo di proteggere gli ambienti non patchati e dare alle organizzazioni il tempo di applicare le mitigazioni, la PoC sarà trattenuta a tempo indeterminato.
Questa decisione riflette un impegno per la divulgazione responsabile e la sicurezza degli utenti. Qualora il vendor confermi la copertura completa della patch, una PoC oscurata potrebbe essere presa in considerazione in futuro solo per scopi difensivi e di rilevamento.
Questa vulnerabilità è stata scoperta e divulgata in modo responsabile da Malik Tawfiq.
LinkedIn: Malik Tawfiq
Questa divulgazione fa parte di uno sforzo di coordinamento responsabile delle vulnerabilità. Ha lo scopo di informare la comunità e aiutare a proteggere gli utenti interessati fino al rilascio di una patch adeguata.