W aplikacji openSIS w wersjach od 7.0 do 9.1 odkryto podatność typu SQL injection w module wiadomości (Inbox). Umożliwia ona nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań SQL, co czyni tę lukę szczególnie niebezpieczną.
▸ Pokaż oryginał (EN)
OS4ED openSIS v7.0 to v9.1 was discovered to contain a SQL injection vulnerability via the cp_id parameter at /modules/messages/Inbox.php.
Podatność występuje w parametrze cp_id przekazywanym do skryptu /modules/messages/Inbox.php. Dane dostarczane przez użytkownika nie są odpowiednio walidowane ani sanityzowane przed przekazaniem do zapytania SQL. Atakujący może wstrzyknąć złośliwy kod SQL bezpośrednio przez sieć, bez konieczności uwierzytelnienia ani interakcji ze strony ofiary.
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych aplikacji, odczytać, zmodyfikować lub usunąć przechowywane dane, a w zależności od konfiguracji serwera bazy danych — potencjalnie przejąć kontrolę nad całym systemem.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako dodatkowe środki zaradcze zaleca się ograniczenie dostępu do aplikacji na poziomie firewall oraz monitorowanie ruchu sieciowego pod kątem anomalii w zapytaniach SQL.
OS4ED openSIS w wersjach od 7.0 do 9.1 (klasyczna wersja aplikacji — openSIS-Classic)
Szczegóły techniczne podatności zostały opublikowane w ramach badań bezpieczeństwa dostępnych pod adresem: https://github.com/esusalla/vulnerability-research/tree/main/CVE-2025-22928
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HOs4ed Opensis
APPOs4Ed7.0 – 9.1
Powiązane podatności
SQL Injection w OpenSIS via parametry student_id i TRANSFER[SCHOOL]
SQL Injection w Os4Ed openSIS — parametr filter_id
Path traversal w openSIS umożliwia nieautoryzowany dostęp do plików
Path traversal w openSIS — nieautoryzowany dostęp do plików przez Modules.php
SQL injection w OS4Ed openSIS via parametr groupid w Group.php