CVE-2025-10692

WysokieCVSS 7.1

Opublikowano: 03/10/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Endpoint POST /api/staff/get-new-tickets w OpenSupports 4.11.0 konkatenuje kontrolowany przez użytkownika parametr departmentId bezpośrednio do klauzuli SQL WHERE bez wiązania parametrów. Uwierzytelniony pracownik (poziom ≥ 1) może wstrzyknąć SQL, aby zmienić logikę filtrowania, obejść ograniczenia działu i ujawnić zgłoszenia spoza swojego zakresu dostępu.

Ocena ryzyka

Pracownik o niskich uprawnieniach może uzyskać dostęp do zgłoszeń innych działów, co stanowi naruszenie poufności danych. Może to prowadzić do wycieku wrażliwych informacji klientów.

Rekomendacja

Zaktualizuj OpenSupports do wersji zawierającej poprawkę lub wdróż parametryzację zapytań SQL w omawianym endpoincie. Zweryfikuj, czy inne endpointy również nie są podatne na SQL injection.

Inne podatności w OpenSupports

CVE-2025-10695Średnie
OpenSupports w wersji 4.11.0 udostępnia dwa nieuwierzytelnione punkty końcowe diagnostyczne z uprawnieniem 'any', które pozwalają na inicjowanie przez backend dowolnych połączeń sieciowych do celu podanego przez atakującego. Umożliwia to nieuwierzytelniony atak SSRF służący do skanowania sieci wewnętrznej i interakcji z usługami.

Oryginalny opis (angielski, źródło NVD)

The endpoint POST /api/staff/get-new-tickets concatenates the user-controlled parameter departmentId directly into the SQL WHERE clause without parameter binding. As a result, an authenticated staff user (level ≥ 1) can inject SQL to alter the filter logic, effectively bypassing department scoping and disclosing tickets beyond their intended access.This issue affects OpenSupports: 4.11.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS