CVE-2025-9255

چکیده

آسیب‌پذیری SQL Injection در نرم‌افزار WebITR شرکت Uniong شناسایی شده است که به مهاجمان غیرمجاز اجازه می‌دهد از راه دور دستورات SQL دلخواه را اجرا کرده و محتوای پایگاه داده، شامل اطلاعات حساس کاربران را استخراج کنند.

توضیحات

آسیب‌پذیری CVE-2025-9255  از نوع تزریق SQL (SQL Injection) مطابق با CWE-89  در نرم‌افزار WebITR  شرکت Uniong  شناسایی شده است. این آسیب‌پذیری زمانی رخ می‌دهد که برنامه ورودی‌های ارائه شده توسط کاربر را به درستی خنثی یا فیلتر نکرده و بدین ترتیب امکان تزریق دستورات SQL مخرب فراهم می‌شود. بهره‌برداری موفق از این آسیب‌پذیری به مهاجمان غیرمجاز اجازه می‌دهد از راه دور دستورات SQL دلخواه را اجرا کنند که می‌تواند منجر به خواندن، تغییر یا حذف محتوای پایگاه داده شود، از جمله اطلاعات حساس کاربران، تنظیمات سیستم یا سایر داده‌های مهم.

این حمله نیاز به هیچ سطح دسترسی اولیه‌ای ندارد، بدون تعامل کاربر انجام می‌شود و پیامد اصلی آن نقض محرمانگی داده‌ها است. با این حال، در صورت دسترسی به اطلاعات حیاتی مانند نام‌های کاربری و کلمات عبور، سطح حمله و میزان تأثیرگذاری می‌تواند افزایش یافته و به مهاجم امکان دسترسی گسترده‌تر یا کنترل بیشتر بر سیستم را بدهد.

شرکت Uniong این ضعف را در نسخه 2_1_0_33 با اعمال به‌روزرسانی‌هایی که احتمالاً شامل استفاده از کوئری های پارامتری یا خنثی‌سازی مناسب ورودی‌ها بوده، پچ کرده است.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

 نتیجه گیری

با توجه به شدت بالای آسیب‌پذیری، توصیه می‌شود نسخه‌های آسیب‌پذیر WebITR (0 تا 2_1_0_32) فوراً به نسخه2_1_0_33  یا بالاتر به‌روزرسانی شوند. علاوه براین به منظور کاهش ریسک توصیه می شود، دسترسی به نرم‌افزار از اینترنت عمومی محدود شده و ترجیحاً تنها از طریق شبکه داخلی یا VPN معتبر مجاز باشد. فایروال اپلیکیشن وب (WAF) باید برای شناسایی و مسدودسازی تلاش‌های تزریق SQL و ورودی‌های مشکوک پیکربندی شود و نظارت مستمر بر لاگ‌های پایگاه داده، وب‌سرور و عملکردهای امنیتی انجام گیرد تا هر گونه فعالیت غیرعادی یا تلاش سوءاستفاده سریعاً شناسایی شود. همچنین، تمامی ورودی‌های کاربران باید با کوئری‌های پارامتری یا اعتبارسنجی مناسب فیلتر شده و سطح دسترسی کاربران به عملکردهای حساس محدود گردد. تهیه نسخه پشتیبان منظم و امن از پایگاه داده و محتوای سیستم ضروری است و آموزش مدیران و کاربران کلیدی درباره ریسک SQL Injection و نشانه‌های نفوذ، امکان واکنش سریع و مؤثر را فراهم می‌کند.

امکان استفاده در Mitre Attack

• Tactic (TA0001) – Initial Access
  Sub-technique (T1190) – Exploit Public-Facing Application
  مهاجم می‌تواند از طریق ارسال درخواست‌های مخرب به نرم‌افزار WebITR که در دسترس شبکه قرار دارد، ورودی‌های SQL را تزریق کند و از راه دور کنترل بخشی از پایگاه داده را به دست گیرد.
• Tactic (TA0002) – Execution
  Sub-technique (T1203) – Exploitation for Client Execution
  بهره‌برداری موفق اجازه می‌دهد دستورات SQL دلخواه اجرا شود و تغییرات یا استخراج داده‌ها روی پایگاه داده انجام شود.
• Tactic (TA0004) – Privilege Escalation
  Sub-technique (T1068) – Exploitation for Privilege Escalation
  با دسترسی به اطلاعات حساس مانند نام کاربری و کلمات عبور، مهاجم می‌تواند سطح دسترسی خود را ارتقا داده و کنترل گسترده‌تری بر سیستم یا پایگاه داده کسب کند.
• Tactic (TA0040) – Impact
  Sub-technique (T1499) – Data Manipulation
  اجرای موفق حمله می‌تواند منجر به خواندن غیرمجاز، تغییر یا حذف داده‌ها شود و نقض محرمانگی و یکپارچگی داده‌ها را به دنبال داشته باشد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-9255
2. https://www.cvedetails.com/cve/CVE-2025-9255/
3. https://www.twcert.org.tw/en/cp-139-10329-a1c5d-2.html
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-9255
5. https://vuldb.com/?id.321030
6. https://nvd.nist.gov/vuln/detail/CVE-2025-9255
7. https://cwe.mitre.org/data/definitions/89.html