Produtos Afetados

• devcode-it/openstamanager (versões: <= 2.9.8)

Classificação CWE

• CWE-89: Neutralização Incorreta de Elementos Especiais usados em um Comando SQL ('Injeção de SQL')

Detalhes

Resumo

Vulnerabilidade crítica de Injeção de SQL baseada em erro no módulo de operações em massa do Scadenzario (Cronograma de Pagamentos) do OpenSTAManager v2.9.8 permite que atacantes autenticados extraiam o conteúdo completo do banco de dados, incluindo credenciais de usuários, PII de clientes e registros financeiros, por meio de mensagens de erro XML.

Status: ✅ Confirmado e testado em instância ativa (v2.9.8) Parâmetro Vulnerável: id_records[] (array POST) Endpoint Afetado: /actions.php?id_module=18 (módulo Scadenzario) Tipo de Ataque: Injeção de SQL baseada em erro (cláusula IN)

Detalhes

O OpenSTAManager v2.9.8 contém uma vulnerabilidade crítica de Injeção de SQL baseada em erro no manipulador de operações em massa do módulo Scadenzario (Cronograma de Pagamentos). O aplicativo não valida se os elementos do array id_records são inteiros antes de usá-los em uma cláusula SQL IN(), permitindo que atacantes injetem comandos SQL arbitrários e extraiam dados sensíveis por meio de mensagens de erro XPATH.

Cadeia da Vulnerabilidade:

1. Ponto de Entrada: /actions.php (Linhas 503-506)

   root@kitploit:~

   $id_records = post('id_records');
   $id_records = is_array($id_records) ? $id_records : explode(';', $id_records);
   $id_records = array_clean($id_records);
   $id_records = array_unique($id_records);
   

   A função array_clean() apenas remove valores vazios - ela NÃO valida tipos.

2. Função Vulnerável: /lib/util.php (Linhas 54-60)

   root@kitploit:~

   function array_clean($array)
   {
       if (!empty($array)) {
           return array_unique(array_values(array_filter($array, fn ($value) => !empty($value))));
       }
   }
   

   Impacto: A função filtra valores vazios, mas aceita qualquer valor não vazio, incluindo payloads de injeção de SQL.

3. Ponto de Injeção SQL: /modules/scadenzario/bulk.php (Linha 88) VULNERABILIDADE PRINCIPAL

   root@kitploit:~

   $scadenze = $database->FetchArray('SELECT * FROM co_scadenziario LEFT JOIN (SELECT id as id_nota, ref_documento FROM co_documenti)as nota ON co_scadenziario.iddocumento = nota.ref_documento WHERE co_scadenziario.id IN ('.implode(',', $id_records).') AND pagato < da_pagare AND nota.id_nota IS NULL ORDER BY idanagrafica, iddocumento');
   

   Impacto: Os elementos do array $id_records são concatenados diretamente usando implode() sem validação de tipo ou prepare(), permitindo injeção completa de SQL.

Análise da Causa Raiz:

A vulnerabilidade existe porque:

1. post('id_records') retorna um array controlado pelo usuário
2. array_clean() apenas remove valores vazios, não valores não inteiros
3. implode(',', $id_records) concatena os elementos do array diretamente no SQL
4. Nenhuma validação garante que os elementos do array sejam inteiros
5. O atacante pode injetar SQL fornecendo: id_records[]=1&id_records[]=(MALICIOUS SQL)#

Caminho de Código Afetado:

PoC

Etapa 1: Login

Etapa 2: Verificar a Vulnerabilidade (Injeção de SQL baseada em erro)

Teste 1: Extrair Usuário e Versão do Banco de Dados

Resposta (mensagem de erro visível para o atacante):

Teste 2: Extrair Credenciais do Administrador

Resposta:

Teste 3: Extrair Hash da Senha (Parte 1 - primeiros 31 caracteres)

Resposta:

Teste 4: Extrair Hash da Senha (Parte 2 - caracteres 32-60)

Resposta:

Hash de Senha Combinado:

Impacto

**Todos os usuários autenticados com acesso às operações em massa do módulo Scadenzario (Cronograma de Pagamentos).

Correção Recomendada:

Correção Principal - Validação de Tipo:

Arquivo: /modules/scadenzario/bulk.php

ANTES (Vulnerável - Linha 88):

DEPOIS (Corrigido):

Créditos

Descoberto por Łukasz Rybak

Referências

• https://github.com/devcode-it/openstamanager/security/advisories/GHSA-4xwv-49c8-fvhq
• https://nvd.nist.gov/vuln/detail/CVE-2026-24418
• https://github.com/advisories/GHSA-4xwv-49c8-fvhq

Aviso Legal

Este CVE foi divulgado de forma responsável seguindo as práticas de divulgação coordenada de vulnerabilidades. As informações fornecidas aqui têm finalidade exclusivamente educacional e defensiva.