CVE-2026-24419

Nome do Software Vulnerável e Versões Afetadas OpenSTAManager versões 2.9.8 e anteriores

Descrição O OpenSTAManager apresenta uma vulnerabilidade crítica de Injeção SQL Baseada em Erros no arquivo add.php do módulo Prima Nota (Lançamento Contábil). A aplicação não valida se os valores separados por vírgula recebidos por meio do parâmetro GET id documenti são inteiros antes de utilizá-los em cláusulas SQL IN(). Isso permite que atacantes injetem comandos SQL arbitrários e extraiam dados sensíveis por meio de mensagens de erro XPATH. O parâmetro vulnerável é id documenti e o endpoint da API afetado é /modules/primanota/add.php. A vulnerabilidade está localizada nas linhas 63-67 e 306 do arquivo add.php. A aplicação recupera parâmetros de URL controlados pelo usuário usando a função get(), os divide por vírgula e, em seguida, concatena os elementos do array diretamente em uma consulta SQL sem qualquer validação de tipo. Isso permite que atacantes injetem código SQL ao fornecer uma carga maliciosa ao parâmetro id documenti.

Recomendações Versões anteriores à 2.9.8 devem implementar validação de tipo para o parâmetro id documenti. Especificamente, utilize array map('intval', $id documenti) para garantir que todos os elementos do array sejam inteiros e array filter($id documenti, fn($id) => $id > 0) para remover IDs zero ou negativos.