CVE-2020-37089: Arox School ERP Pro 1.0 - Injeção SQL pelo parâmetro es_messagesid

Visão geral

O School ERP Pro 1.0 é apontado como contendo uma falha de injeção SQL (CWE-89) no parâmetro es_messagesid, acessível por requisições GET. O registro indica que isso permite a manipulação de consultas ao banco de dados.

Impacto

O registro afirma que um atacante poderia potencialmente extrair, modificar ou excluir informações do banco de dados.
O NVD atribui pontuação 9.8 (crítica) pelo CVSS 3.1, com vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Há ainda uma pontuação secundária da CNA VulnCheck (8.2 pelo 3.1 e 7.1 pelo 4.0) no registro. As pontuações variam conforme o provedor.

Produtos e versões afetadas

Produto listado: Arox School Erp Pro, versão 1.0.
O registro não lista versão corrigida. Isso não significa que não exista correção, apenas que as fontes consultadas não a informaram.
As páginas do fornecedor citadas no registro são cópias arquivadas de 2019 e 2020, portanto a disponibilidade atual do produto e o suporte do fornecedor são desconhecidos.

Status de exploração

Segundo o registro, este CVE não consta no catálogo CISA KEV.
O registro inclui uma entrada pública na Exploit-DB marcada como exploit. A disponibilidade pública de exploit eleva a prioridade de análise, mas o registro não confirma exploração no mundo real.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Identifique todas as implantações do School ERP Pro 1.0 ou do Arox School ERP Pro no ambiente, incluindo instalações esquecidas ou legadas.
Como o registro não documenta correção do fornecedor, considere remover a aplicação ou isolá-la de redes não confiáveis até que haja versão suportada ou correção de código verificada.
Se o código é mantido internamente, use consultas parametrizadas ou instruções preparadas em todos os acessos ao banco ligados ao parâmetro es_messagesid, e valide as entradas no servidor.
Use contas de banco com privilégio mínimo, para que a aplicação execute apenas as operações necessárias.
Um firewall de aplicação web pode reduzir a exposição como controle compensatório temporário, mas não substitui a correção de código.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns nas requisições GET ao parâmetro es_messagesid, como caracteres especiais inesperados ou mensagens de erro de banco nas respostas.
Monitore os logs do banco de dados em busca de erros ou padrões de consulta inesperados originados da conta da aplicação.
Gere alertas para alterações ou exclusões inesperadas em tabelas relacionadas a mensagens.

Limitações das informações disponíveis

O registro não lista patch do fornecedor, versão corrigida ou aviso oficial do fornecedor.
Dados de EPSS e SSVC não estão disponíveis no registro.
O link do aviso da VulnCheck está marcado como quebrado no registro.
O caminho de código afetado, os requisitos de autenticação dentro da aplicação e a prevalência de implantação não são confirmados pelas fontes consultadas.

Perguntas frequentes

A CVE-2020-37089 está sendo explorada ativamente?

O registro mostra que o CVE não consta no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. Há uma referência pública na Exploit-DB, o que justifica priorizar a análise.

Existe correção oficial para esta vulnerabilidade?

O registro não lista versão corrigida nem patch do fornecedor. A ausência de correção no registro não prova que ela não exista, por isso as equipes devem isolar ou remover o produto e verificar com o fornecedor ou mantenedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.