CVE-2025-22929

SQL Injection w Os4Ed openSIS — parametr filter_id

CVSS 9.8v3.1pub. 2025-04-03upd. 2025-04-29

W aplikacji openSIS w wersjach od 7.0 do 9.1 odkryto podatność typu SQL injection w parametrze filter_id w pliku /students/StudentFilters.php. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań SQL w bazie danych systemu.

▸ Pokaż oryginał (EN)

OS4ED openSIS v7.0 to v9.1 was discovered to contain a SQL injection vulnerability via the filter_id parameter at /students/StudentFilters.php.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie HTTP zawierające złośliwy payload w parametrze filter_id do endpointu /students/StudentFilters.php. Dane wejściowe nie są odpowiednio walidowane ani sanityzowane przed użyciem w zapytaniu SQL, co pozwala na wstrzyknięcie dowolnych instrukcji SQL. Ponieważ atak nie wymaga uwierzytelnienia ani interakcji użytkownika, może być przeprowadzony zdalnie przez dowolną osobę mającą dostęp sieciowy do aplikacji.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, odczytać, zmodyfikować lub usunąć dane uczniów i inne wrażliwe informacje przechowywane w systemie. W zależności od konfiguracji serwera bazy danych możliwe jest również przejęcie kontroli nad systemem operacyjnym serwera.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację do wersji wyższej niż 9.1 oraz ograniczenie dostępu do aplikacji openSIS wyłącznie do zaufanych sieci lub użytkowników (np. poprzez firewall lub VPN) do czasu wdrożenia poprawki.

Kogo dotyczy

Os4Ed openSIS w wersjach od 7.0 do 9.1

Uwagi

Szczegółowe informacje dotyczące podatności oraz materiały badawcze dostępne są w repozytorium GitHub badacza: https://github.com/esusalla/vulnerability-research/tree/main/CVE-2025-22929