CVE-2025-69215

Nome do Software Vulnerável e Versões Afetadas OpenSTAManager versões 2.9.8 e anteriores

Descrição O OpenSTAManager é um software de gerenciamento de código aberto para assistência técnica e faturamento. Existe uma vulnerabilidade de Injeção de SQL no Módulo Stampe, especificamente no arquivo modules/stampe/actions.php na linha 26. O parâmetro module dos dados POST é concatenado diretamente em uma consulta SQL UPDATE sem a devida sanitização, apesar do parâmetro predefined ser validado com intval(). Isso permite Injeção de SQL baseada em erro usando funções MySQL como EXTRACTVALUE, UPDATEXML e GTID SUBSET. O Endpoint da API vulnerável é /modules/stampe/actions.php. O parâmetro vulnerável é module. A exploração requer uma sessão autenticada válida com acesso ao módulo Stampe e foi verificado que funciona com usuários com acesso ao grupo "Tecnici". A vulnerabilidade pode ser explorada enviando uma requisição POST para o endpoint vulnerável com o parâmetro op definido como 'update', id record definido como 1, predefined definido como um valor diferente de zero e o parâmetro module contendo o payload de Injeção de SQL. O exploit pode ser usado para extrair informações do banco de dados, incluindo a versão do banco de dados, nome, usuário atual e potencialmente credenciais administrativas.

Recomendações Versões anteriores à 2.9.8 devem ser atualizadas para uma versão mais recente que corrija esta vulnerabilidade. Como solução temporária, considere desativar o módulo Stampe ou restringir o acesso a ele para minimizar o risco de exploração. Evite usar o parâmetro module no endpoint da API afetado até que o problema seja resolvido.