CVE-2025-41373 – Gandia Integra Total의 SQL 인젝션

작성자: Byte Reaper
CVE: CVE-2025-41373
취약점: 인증된 SQL 인젝션
영향받는 경로: /encuestas/integraweb_v4/integra/html/view/hislistadoacciones.php?idestudio=

설명:
이 엔드포인트는 idestudio 매개변수를 적절한 정화나 매개변수화 없이 SQL 쿼리에 직접 연결하여, 공격자가 임의의 SQL을 주입할 수 있도록 합니다. 이 PoC는 boolean 기반 및 시간 기반 기술을 모두 활용하여 취약점을 탐지하고 증명합니다.

사용법

# Build
gcc exploit.c argparse.c -o exploit -lcurl

# Run exploit against <URL>
./exploit -u <URL>

# Verbose output
./exploit -u <URL> -v

# WAF detection mode
./exploit -u <URL> -w
Replace <URL> with the target base URL (e.g. http://127.0.0.1).

참고 자료:

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-41373

• incibe : https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-gandia-integra-total-tesi