CVE-2025-11432: Injeção de SQL em reset.php no itsourcecode Leave Management System

Visão geral

A CVE-2025-11432 é uma fraqueza de injeção de SQL (CWE-89) relatada no itsourcecode Leave Management System 1.0. Segundo o registro, a falha está em uma função não especificada do arquivo /reset.php e é acionada pelo argumento employid.

Impacto

A injeção de SQL pode permitir que um atacante influencie consultas ao banco de dados montadas pela aplicação. O registro descreve o ataque como possível de forma remota. O vetor CVSS 3.1 da NVD indica alto impacto na confidencialidade, na integridade e na disponibilidade, mas as consequências reais dependem da configuração do banco de dados e da aplicação, que o registro não detalha.

Produtos e versões afetadas

Itsourcecode Leave Management System, versão 1.0, é a única versão afetada listada no registro.
O registro não lista outras versões afetadas nem uma versão corrigida.

As pontuações variam entre as fontes:

NVD: CVSS 3.1, pontuação 9.8, crítica.
VulDB: CVSS 3.1 com pontuação 7.3, CVSS 4.0 com pontuação 6.9, CVSS 3.0 com pontuação 7.3, CVSS 2.0 com pontuação 7.5.
CNA (cna@vuldb.com): CVSS 4.0 com pontuação 5.5, CVSS 3.1 com pontuação 7.3, CVSS 2.0 com pontuação 7.5.

Status de exploração

O registro afirma que o exploit está publicamente disponível e pode ser utilizado. A CVE não consta no catálogo KEV da CISA, portanto não há registro de exploração ativa confirmada nas fontes consultadas. O campo de exploração do SSVC está definido como prova de conceito, o que aponta para material de exploração público e não para ataques observados.

Correção e mitigação

O registro não contém correção do fornecedor. Verifique o site do fornecedor ou entre em contato com ele para obter uma versão atualizada.
Enquanto nenhuma correção for confirmada, restrinja o acesso à funcionalidade de redefinição a redes e usuários de confiança.
Os desenvolvedores devem usar consultas parametrizadas e validar a entrada employid no lado do servidor.
Se a aplicação estiver acessível a partir de redes não confiáveis, trate-a como exposta enquanto não houver correção confirmada.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro employid em requisições a reset.php.
Monitore mensagens de erro do banco de dados e comportamentos inesperados de consultas associados à aplicação.
Gere alertas para atividades repetidas ou em massa de redefinição de senha originadas de uma mesma fonte.

Limitações das informações disponíveis

O registro não descreve em detalhes o caminho de código vulnerável e não lista uma versão corrigida. A entrada da NVD indica que nenhum privilégio é exigido, enquanto uma entrada da VulDB traz a marcação 'Permissions Required', por isso a necessidade de autenticação não está confirmada. As pontuações diferem entre NVD, VulDB e CNA. O registro inclui uma probabilidade EPSS de 0.00478, apresentada aqui sem interpretação adicional.

Perguntas frequentes

Quais versões do itsourcecode Leave Management System são afetadas pela CVE-2025-11432?

O registro lista a versão 1.0 como afetada. Não há outras versões listadas nem uma versão corrigida.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA segundo o registro, e as fontes consultadas não confirmam exploração ativa. O registro afirma que há um exploit público disponível.

O que os administradores devem fazer agora?

O registro não traz correção do fornecedor. Restrinja o acesso à funcionalidade de redefinição, verifique atualizações junto ao fornecedor e revise os logs em busca de valores incomuns no campo employid.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.