آسیبپذیری CVE-2025-41002 با شدت 9.3 یک نقص امنیتی از نوع تزریق SQL در سامانه Infoticketing است که در بخش اعمال کد تخفیف (cartApplyDiscount) رخ میدهد. این ضعف از طریق پارامتر code در درخواست POST قابل سوءاستفاده است و نیازی به احراز هویت ندارد. مهاجم میتواند با ارسال دادههای دستکاریشده، دستورات مخرب SQL را مستقیماً به پایگاهداده تزریق کند. در نتیجه، امکان خواندن اطلاعات حساس، تغییر دادهها یا حذف کامل جداول پایگاهداده وجود دارد. این موضوع میتواند منجر به افشای اطلاعات کاربران، دستکاری تراکنشها و اختلال در عملکرد سامانه فروش شود. از آنجا که دسترسی اولیه بدون نیاز به لاگین انجام میشود، سطح تهدید آن بسیار بالا است. در صورت بهرهبرداری موفق، مهاجم میتواند کنترل کامل دادههای سیستم را به دست بگیرد. رفع این آسیبپذیری مستلزم استفاده از کوئریهای پارامتریزه و اعتبارسنجی دقیق ورودیها است.
- سامانه فروش و مدیریت بلیت Infoticketing
- نسخههایی که فایل components/cart/cartApplyDiscount.php را بدون اعتبارسنجی مناسب پارامتر code پیادهسازی کردهاند
- کلیه استقرارهای عمومی که این ماژول را در دسترس اینترنت قرار دادهاند
- استفاده از Prepared Statements / Parameterized Queries برای جلوگیری از تزریق SQL
- اعتبارسنجی و فیلتر دقیق ورودی پارامتر code
- اعمال احراز هویت مناسب برای عملیات حساس مانند اعمال تخفیف
- محدودسازی دسترسی مستقیم به مسیرهای داخلی مانند /components/
- فعالسازی Web Application Firewall (WAF) برای شناسایی و مسدودسازی الگوهای SQL Injection
- بهروزرسانی به نسخه اصلاحشده (در صورت انتشار Patch رسمی)
- بررسی لاگهای پایگاهداده برای شناسایی کوئریهای مشکوک
- اجرای اصل حداقل سطح دسترسی (Least Privilege) برای کاربر پایگاهداده برنامه
- 3