PT-2026-29744 · Unknown · Openstamanager

Ormzro · Publicado 2026-04-02 · Atualizado 2026-04-05 · CVE-2026-35168

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenSTAManager versões anteriores a 2.10.2

Description O software OpenSTAManager contém uma falha no módulo Aggiornamenti (Atualizações). Este módulo inclui um recurso de resolução de conflitos de banco de dados que aceita um array JSON de instruções SQL via solicitações POST para o endpoint op=risolvi-conflitti-database e as executa diretamente no banco de dados sem validação ou sanitização. Um invasor autenticado com acesso ao módulo Aggiornamenti pode executar instruções SQL arbitrárias, incluindo comandos como CREATE, DROP, ALTER, INSERT, UPDATE, DELETE e SELECT INTO OUTFILE. As verificações de chaves estrangeiras são desabilitadas antes da execução, reduzindo as proteções de integridade do banco de dados.

Recommendations Atualize o OpenSTAManager para a versão 2.10.2 ou posterior.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-35168

GHSA-2FR7-CC4F-WH98

Produtos afetados

Openstamanager

Referências · 9

• 🔥 https://github.com/devcode-it/openstamanager/security/advisories/GHSA-2fr7-cc4f-wh98 · Exploit
• https://github.com/devcode-it/openstamanager/commit/43970676bcd6636ff8663652fd82579f737abb74 · Correção
• https://github.com/devcode-it/openstamanager/releases/tag/v2.10.2 · Nota
• https://github.com/devcode-it/openstamanager · Nota
• https://twitter.com/CveFindCom/status/2039715430898532489 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2040637925717897417 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35168 · Nota de Segurança
• https://twitter.com/CVEnew/status/2039744345503379740 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2fr7-cc4f-wh98 · Aviso do Fabricante