CVE-2025-9814

چکیده

این آسیب‌پذیری در سیستم مدیریت سالن زیبایی PHPGurukul نسخه 1.1 شناسایی شده است که به دلیل عدم اعتبارسنجی مناسب پارامتر mobnumber در فایل /admin/contact-us.php، امکان تزریق SQL را فراهم می‌کند. این ضعف به مهاجمان بدون نیاز به احراز هویت اجازه می‌دهد تا از راه دور به پایگاه داده دسترسی غیرمجاز پیدا کرده، داده‌ها را تغییر دهند یا عملکرد سرویس را مختل کنند.

توضیحات

آسیب‌پذیری CVE-2025-9814 در سیستم مدیریت سالن زیبایی PHPGurukul نسخه 1.1 به دلیل ضعف در اعتبارسنجی ورودی‌های کاربر در فایل /admin/contact-us.php ، امکان تزریق SQL (مطابق با CWE-89 و CWE-74) را فراهم می‌کند. این ضعف ناشی از استفاده مستقیم پارامتر mobnumber در کوئری‌های SQL بدون فیلتر یا پاکسازی مناسب است.

مهاجمان بدون نیاز به احراز هویت می‌توانند با ارسال درخواست‌های HTTP POST مخرب به این فایل، کوئری‌های SQL را دستکاری کرده و عملیات غیرمجازی مانند دسترسی به پایگاه داده، استخراج اطلاعات حساس، تغییر یا حذف داده‌ها و حتی ایجاد اختلال در عملکرد سیستم را انجام دهند. این آسیب‌پذیری از راه دور و بدون نیاز به احراز هویت یا تعامل کاربر قابل بهره‌برداری است که ریسک آن را به‌ویژه در سیستم‌های در دسترس عموم افزایش می‌دهد.

تأثیرات این ضعف شامل نقض محرمانگی از طریق افشای داده‌های حساس مانند اطلاعات مشتریان، نقض یکپارچگی با امکان تغییر داده‌ها و نقض در دسترس‌پذیری با ایجاد شرایط انکار سرویس است که می‌تواند عملیات تجاری را مختل کند.

یک کد اثبات مفهومی (PoC) برای این آسیب‌پذیری منتشر شده که با استفاده از ابزار sqlmap آزمایش شده است. این PoC شامل پیلودهایی مانند تزریق مبتنی بر زمان (time-based blind) است. این پیلودها امکان تأخیر در پاسخ‌های سرور یا استخراج اطلاعات پایگاه داده را فراهم می‌کنند. نتایج آزمایش های sqlmap نشان می‌دهد که مهاجمان می‌توانند نام پایگاه‌های داده یا محتوای جدول ها را استخراج کرده و کنترل گسترده‌ای بر سیستم به دست آورند. با عمومی شدن این اکسپلویت، احتمال سوءاستفاده از این آسیب‌پذیری، به ویژه در سیستم‌هایی که بدون نظارت امنیتی و در دسترس عمومی هستند، به شدت افزایش یافته است. این آسیب‌پذیری تنها نسخه 1.1 نرم‌افزار را تحت تأثیر قرار می‌دهد و تاکنون هیچ پچ یا به روزرسانی رسمی از سوی PHPGurukul منتشر نشده است.

CVSS

 لیست محصولات آسیب پذیر 

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که برند PHPGurukul را ذکر کرده اند، ثبت شده است. این داده ها صرفاً برای برآورد تقریبی حضور برند و محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق نیست.

 نتیجه گیری

با توجه به عدم انتشار پچ رسمی برای رفع این آسیب پذیری از سوی PHPGurukul ، ضروری است که اقدامات کاهش ریسک به‌صورت فوری و جامع اعمال شوند. توصیه‌های فنی شامل موارد زیر است:

• اصلاح کوئری‌ها و استفاده از دستورات آماده (Prepared Statements): اجرای Prepared Statementها همراه با پارامتر Binding باعث جداسازی داده‌های کاربر از دستورات SQL می‌شود و از تزریق SQL جلوگیری می‌کند.
• اعتبارسنجی و فیلتر ورودی‌ها: تمامی پارامترهای ورودی، به‌ویژه پارامترهای حساس مانند mobnumber، باید به دقت بررسی و فیلتر شوند تا فقط داده‌های معتبر و مطابق با فرمت مورد انتظار پذیرفته شوند.
• محدودسازی سطح دسترسی پایگاه داده: استفاده از حساب‌های کاربری با کمترین سطح دسترسی لازم، ضروری است و نباید برای عملیات عادی سیستم از حساب‌های Admin یا Root استفاده شود.
• مانیتورینگ و تحلیل امنیتی: فعال‌سازی ثبت لاگ پیشرفته و نظارت مستمر بر ترافیک با استفاده از سامانه‌های تشخیص یا جلوگیری از نفوذ (IDS/IPS) برای شناسایی درخواست‌های غیرمعمول و تلاش‌های بهره‌برداری توصیه می‌شود.
• تفکیک و ایزوله‌سازی مسیرهای مدیریتی: مسیرهای مدیریتی مانند /admin/contact-us.php باید از شبکه‌های عمومی یا غیر قابل ‌اعتماد جدا شوند که این کار می‌تواند با استفاده از شبکه‌های لوکال مجازی (VLAN) یا بخش‌بندی شبکه (Segmentation) انجام شود.
• کنترل دسترسی شبکه: پیاده‌سازی فیلتر IP و لیست کنترل دسترسی (ACL) برای محدود کردن ارتباطات تنها به میزبان‌ها و آدرس‌های معتبر توصیه می‌شود.
• ارتقا یا جایگزینی نرم‌افزار: در صورت امکان، سیستم آسیب‌پذیر باید با نسخه‌های جدیدتر یا نرم‌افزارهایی با پشتیبانی امنیتی فعال جایگزین شود.

اجرای همزمان این اقدامات باعث کاهش چشمگیر سطح حمله، جلوگیری از بهره‌برداری موفق و تضمین محرمانگی، یکپارچگی و دسترس‌پذیری سیستم می‌شود و امنیت عملیاتی سیستم‌های تجاری و پایگاه داده‌ها را به‌طور مؤثر تضمین می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
T1190 – Exploit Public-Facing Application
مهاجم می‌تواند با سوءاستفاده از آسیب‌پذیری SQL Injection در پارامتر  mobnumber فایل /admin/contact-us.php  به سیستم مدیریت سالن زیبایی بدون نیاز به احراز هویت دسترسی پیدا کند.

Execution (TA0002)
T1059 – Command and Scripting Interpreter
با ارسال درخواست‌های SQL مخرب، مهاجم می‌تواند دستورات دلخواه را در پایگاه داده اجرا کند و کنترل سیستم را در اختیار بگیرد.

Persistence (TA0003)
T1543 – Create or Modify System Process
مهاجم می‌تواند با تغییر داده‌ها در پایگاه داده، دسترسی مداوم خود را حفظ کرده یا سرویس‌ها را تغییر دهد.

Privilege Escalation (TA0004)
T1068 – Exploitation for Privilege Escalation
امکان افزایش سطح دسترسی از طریق سوءاستفاده از آسیب‌پذیری وجود دارد تا کنترل بیشتری بر سیستم به دست آورد.

Credential Access (TA0006)
T1003 – Credential Dumping
با استخراج داده‌های پایگاه داده، مهاجم ممکن است اطلاعات حساس مانند داده‌های احراز هویت را به دست آورد.

Impact (TA0040)
T1499 – Network Denial of Service
با ارسال حجم زیاد درخواست‌های مخرب، مهاجم می‌تواند سرویس را از دسترس خارج کند و باعث ایجاد اختلال در عملکرد سیستم شود

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-9814
2. https://www.cvedetails.com/cve/CVE-2025-9814/
3. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-9814
4. https://vuldb.com/?submit.641237
5. https://vuldb.com/?id.322141
6. https://vuldb.com/?ctiid.322141
7. https://github.com/dad-zm/myCVE/issues/3
8. https://nvd.nist.gov/vuln/detail/CVE-2025-9814
9. https://cwe.mitre.org/data/definitions/89.html
10. https://cwe.mitre.org/data/definitions/74.html