CVE-2025-11416: Injeção de SQL em invoices.php do PHPGurukul Beauty Parlour Management System
Foi relatada uma falha de injeção de SQL no PHPGurukul Beauty Parlour Management System versão 1.1, no arquivo /admin/invoices.php, por meio do argumento delid. O registro indica que a falha é explorável remotamente e que um exploit foi divulgado publicamente. A NVD lista pontuação CVSS 3.1 de 9,8 (crítica), e não há exploração confirmada no campo de atividade real nas fontes consultadas.
Visão geral
A CVE-2025-11416 descreve uma fraqueza de injeção de SQL (CWE-74, Injeção) na página administrativa de faturas do PHPGurukul Beauty Parlour Management System 1.1. Segundo o registro, a manipulação do argumento delid em /admin/invoices.php pode alterar consultas ao banco de dados. O CNA é a VulDB e o registro foi modificado pela última vez na NVD.
Impacto
- A NVD atribui pontuação base CVSS 3.1 de 9,8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, além de alto impacto em confidencialidade, integridade e disponibilidade.
- A VulDB apresenta pontuações alternativas menores, como 7,3 (CVSS 3.1) e 6,9 (CVSS 4.0), portanto a pontuação varia conforme a fonte.
- Os dados SSVC indicam impacto técnico parcial e que o problema é automatizável.
Produtos e versões afetados
- Produto: PHPGurukul Beauty Parlour Management System, versão 1.1.
- O registro não lista versão corrigida. Informações do fabricante estão disponíveis em phpgurukul.com.
Situação de exploração
- O catálogo KEV da CISA não aparece como listando esta CVE no registro, portanto a exploração ativa não é confirmada pelo KEV.
- O registro informa que um exploit foi divulgado publicamente e que o estado de exploração SSVC é poc (prova de conceito). A divulgação pública é referenciada em issue 4 no GitHub.
- A EPSS indica probabilidade de 0,00417 (percentil 0,34194).
Correção e mitigação
- Nenhuma correção do fabricante está listada no registro. Administradores devem consultar o fabricante por uma versão atualizada ou aplicar a correção quando ela estiver disponível.
- Enquanto a correção não for confirmada, restrinja o acesso à área administrativa, limite a exposição da aplicação a redes não confiáveis e avalie se o módulo de faturas é necessário.
- Valide entradas e use consultas parametrizadas em qualquer modificação local do código afetado.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores incomuns no parâmetro delid de invoices.php, especialmente caracteres malformados ou inesperados e requisições repetidas.
- Monitore erros de banco de dados originados na página de faturas.
- Faça um inventário das implantações desta aplicação para identificar todas as instâncias da versão 1.1.
Limitações das informações disponíveis
- O registro não identifica a alteração de código vulnerável nem uma versão corrigida.
- As pontuações diferem entre os registros da NVD e da VulDB, e o registro não explica as diferenças.
- O alcance exato dos dados acessíveis pela injeção não é descrito.
- Os valores da EPSS são estimativas probabilísticas e não confirmam exploração.
Perguntas frequentes
A CVE-2025-11416 é conhecida como explorada ativamente?
O registro não lista esta CVE no catálogo KEV da CISA, portanto a exploração ativa não é confirmada. O registro informa que um exploit público foi divulgado e marca a exploração SSVC como poc.
Qual versão é afetada?
O registro lista o PHPGurukul Beauty Parlour Management System versão 1.1. Nenhuma versão corrigida é listada.
Qual é a pontuação de gravidade?
A NVD lista pontuação base CVSS 3.1 de 9,8 (crítica). A VulDB apresenta pontuações diferentes, incluindo 7,3 no CVSS 3.1 e 6,9 no CVSS 4.0.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.