CVE-2025-50341: Iniezione SQL su Axelor

CVE ID: CVE-2025-50341
Segnalatore: Milad Seddigh
Prodotto: Axelor
Versioni interessate: v5.2.4
Impatto: Iniezione SQL → esfiltrazione del contenuto del database.

Sommario

È stata scoperta una vulnerabilità di iniezione SQL basata su condizioni booleane nel parametro “_domain” di Axelor. Un attaccante può manipolare la logica della query SQL e determinare condizioni vere/false, portando potenzialmente all'esposizione dei dati o a un ulteriore sfruttamento.

Passaggi per riprodurre

1- Accedi al tuo account. 2- Intercetta le richieste che includono il parametro “_domain” nel corpo. 3- Inserisci un payload booleano (o 1=1) nel parametro “domain”. 4- Inserisci un payload booleano (o 1=2) nel parametro “domain”. 5- Osserva la differenza nella risposta del server tra quando 1=1 e 1=2. 6- Esegui il dump di tutti i contenuti del database.

Mitigazione

1. Usa query parametrizzate / istruzioni preparate Assicurati che tutte le query SQL siano costruite utilizzando istruzioni parametrizzate o query preparate. Questo approccio separa la logica SQL dall'input dell'utente e previene l'iniezione.
2. Utilizza librerie ORM (dove appropriato) L'uso di librerie ORM (Object-Relational Mapping) moderne (ad es. Sequelize, Prisma, TypeORM) può aiutare ad astrarre l'SQL grezzo e a imporre pratiche di query sicure.
3. Valida e sanitizza l'input Applica una rigorosa validazione dell'input basata sul contesto (ad es., un ID numerico deve contenere solo cifre). Rifiuta o sanitizza gli input che non soddisfano il formato previsto. Usa allow-list piuttosto che block-list per la validazione.