CVE-2025-50341: Injeção de SQL no Axelor

CVE ID: CVE-2025-50341
Relator: Milad Seddigh
Produto: Axelor
Versões Afetadas: v5.2.4
Impacto: Injeção de SQL → exfiltração de conteúdo do banco de dados.

Resumo

Uma vulnerabilidade de injeção de SQL baseada em booleano foi descoberta no parâmetro “_domain” do Axelor. Um atacante pode manipular a lógica da consulta SQL e determinar condições verdadeiro/falso, potencialmente levando à exposição de dados ou a uma exploração adicional.

Passos para Reproduzir

1- Faça login na sua conta. 2- Intercepte as solicitações que incluem o parâmetro “_domain” no corpo. 3- Insira um payload booleano (ou 1=1) no parâmetro “domain”. 4- Insira um payload booleano (ou 1=2) no parâmetro “domain”. 5- Observe a diferença na resposta do servidor para quando 1=1 e 1=2. 6- Extraia todo o conteúdo do banco de dados.

Mitigação

1. Use Consultas Parametrizadas / Instruções Preparadas Garanta que todas as consultas SQL sejam construídas usando instruções parametrizadas ou consultas preparadas. Essa abordagem separa a lógica SQL da entrada do usuário e previne injeção.
2. Empregue Bibliotecas ORM (Quando Apropriado) Usar bibliotecas ORM (Mapeamento Objeto-Relacional) modernas (por exemplo, Sequelize, Prisma, TypeORM) pode ajudar a abstrair o SQL bruto e impor práticas seguras de consulta.
3. Valide e Sanitize a Entrada Imponha validação estrita de entrada com base no contexto (por exemplo, um ID numérico deve conter apenas dígitos). Rejeite ou sanitize entradas que não atendam ao formato esperado. Use listas de permissão em vez de listas de bloqueio para validação.