CVE-2025-10878: Injeção SQL com bypass de autenticação no login do Fikir Odalari AdminPando 1.0.1

Visão geral

A CVE-2025-10878 é uma fraqueza de injeção SQL (CWE-89) na funcionalidade de login do Fikir Odalari AdminPando 1.0.1. Segundo o registro, a falha afeta os parâmetros de usuário e senha e é descrita como presente antes de 2026-01-26.

Impacto

O registro afirma que atacantes não autenticados podem contornar a autenticação por completo.
A exploração bem-sucedida concederia, segundo o registro, acesso administrativo total à aplicação.
Com acesso administrativo, o registro indica que o conteúdo do site voltado ao público poderia ser alterado (manipulação de HTML/DOM).
O vetor CVSS 3.1 informado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, com pontuação 10 tanto na entrada do CNA quanto na do NVD.

Produtos e versões afetadas

Produto listado como Omran Fikir Odalari Adminpando, com versões registradas como menores ou iguais a 1.0.1.
O registro não lista versões corrigidas. A ausência de versões corrigidas no registro não confirma que não exista correção.

Status de exploração

A entrada no CISA KEV não está listada no registro. Não há exploração confirmada nas fontes consultadas para este registro. O registro inclui duas referências de terceiros marcadas como relacionadas a exploit, o que indica que material público de exploração foi citado; esta análise não descreve nem reproduz esse material.

Correção e mitigação

Identifique todas as implantações do Fikir Odalari AdminPando, incluindo instâncias que possam estar expostas à internet.
Verifique os canais do fornecedor ou do projeto em busca de versão atualizada. O registro não identifica uma versão corrigida.
Se não houver correção disponível, considere restringir o acesso ao login administrativo por controles de rede, como listas de permissão de redes confiáveis, e colocar a aplicação atrás de camadas adicionais de autenticação.
Revise contas administrativas e o conteúdo do site em busca de alterações não autorizadas e troque as credenciais dos usuários administrativos.
Aplique práticas de codificação segura, como consultas parametrizadas, que é a correção do lado do desenvolvimento para o código afetado.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições de login incomuns, tentativas de autenticação repetidas ou anômalas e sessões administrativas inesperadas.
Monitore alterações inesperadas no conteúdo do site, em contas administrativas ou em arquivos de configuração.
Use firewall de aplicação web ou ferramentas de monitoramento para sinalizar mensagens de erro de banco de dados ou padrões anômalos de entrada nos endpoints de login, sem divulgar detalhes de exploração.

Limitações das informações disponíveis

O registro não especifica a versão corrigida oficial do fornecedor nem a disponibilidade de patch.
O registro não tem título e não traz dados de KEV, EPSS ou SSVC, portanto a probabilidade de exploração e os sinais de priorização são desconhecidos.
O caminho exato do código vulnerável e as condições de implantação afetadas não são detalhados no registro.
A data '2026-01-26' aparece na descrição sem explicação adicional do seu significado.

Perguntas frequentes

O que é a CVE-2025-10878?

É uma vulnerabilidade de injeção SQL na funcionalidade de login do Fikir Odalari AdminPando 1.0.1 que, segundo o registro, permite contornar a autenticação sem credenciais.

Há exploração ativa conhecida?

O registro indica que ela não está listada no CISA KEV, e não há exploração confirmada nas fontes consultadas.

Existe versão corrigida?

O registro não lista nenhuma versão corrigida, portanto a disponibilidade de correção é desconhecida.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.