CVE-2025-63624: Injeção de SQL na plataforma de monitoramento de hidrômetros IoT da Shandong Kede

Visão geral

A CVE-2025-63624 descreve uma vulnerabilidade de injeção de SQL (CWE-89) na plataforma de monitoramento de hidrômetros inteligentes IoT da Shandong Kede Electronics Co., Ltd, versão 1.0. Segundo o registro, a falha é acessível pelo arquivo imei_list.aspx e permite que um atacante remoto execute código arbitrário. A CVE foi publicada em 03/02/2026 e seu status é Analyzed nas fontes consultadas.

Impacto

O registro afirma que um atacante remoto pode executar código arbitrário, resultado de alta severidade.
O registro atribui pontuação base CVSS 3.1 de 9,8, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Inferência: como a plataforma monitora medidores, um comprometimento pode afetar a integridade das leituras, a disponibilidade dos serviços de monitoramento e a confidencialidade de dados de clientes ou da operação. O registro não descreve essas consequências diretamente.

Produtos e versões afetados

Produto indicado no registro: Sdkede Iot Smart Water Meter Firmware, versão 1.0.
A descrição identifica o fornecedor como Shandong Kede Electronics Co., Ltd e o componente afetado como sua plataforma de monitoramento de hidrômetros IoT.
Outras versões, builds ou configurações de implantação não constam no registro e sua situação é desconhecida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não é possível afirmar exploração ativa confirmada a partir dessa fonte.
Não há exploração confirmada nas fontes consultadas.
O registro referencia um repositório público no GitHub marcado como Exploit e Third Party Advisory. Essa referência indica que a falha é discutida publicamente, e as equipes devem considerar esse cenário, mas esta análise não descreve nem reproduz nenhuma técnica.
A pontuação EPSS não consta no registro, então a probabilidade de exploração é desconhecida.

Remediação e mitigação

Nenhuma versão corrigida consta no registro. A ausência de versão corrigida não confirma que não exista correção; solicite ao fabricante ou distribuidor atualização ou aviso de segurança.
Enquanto não houver correção confirmada, restrinja o acesso de rede à plataforma de monitoramento, colocando-a atrás de VPN ou redes de gestão autorizadas e removendo a exposição direta à internet.
Isole os sistemas de gestão de medição das redes corporativas gerais e limite o acesso administrativo a contas nominais.
Exija do fabricante ou integrador a confirmação de que as consultas ao banco usam instruções parametrizadas e que todos os parâmetros de requisição passam por validação de entrada.
Considere regras de firewall de aplicação web como controle compensatório temporário, sem substituir a correção do código.
Acompanhe atualizações nos registros do NVD e do CVE.

Orientação de detecção

Analise os logs do servidor web e da aplicação em busca de requisições inesperadas ou malformadas ao endpoint imei_list.aspx, especialmente de origens desconhecidas ou com tamanhos e conjuntos de caracteres anormais nos parâmetros.
Monitore a plataforma quanto a erros de banco de dados, criação inesperada de processos no servidor de aplicação e conexões de saída não associadas à operação normal.
Cruze os alertas com o inventário de ativos para confirmar quais sistemas executam a versão 1.0 da plataforma.

Limitações das informações disponíveis

O registro não traz versão corrigida, aviso do fabricante, pontuação EPSS nem dados SSVC.
O registro não especifica as condições de implantação, os requisitos de autenticação do endpoint nem o escopo exato das instalações afetadas.
O nome do produto na lista de afetados difere do nome do fornecedor na descrição, então a correspondência de ativos deve usar ambos os nomes e a versão.
O status de exploração se limita às fontes consultadas.

Perguntas frequentes

O que é a CVE-2025-63624?

É uma vulnerabilidade de injeção de SQL na plataforma de monitoramento de hidrômetros IoT da Shandong Kede Electronics Co., Ltd, versão 1.0, acessível pelo arquivo imei_list.aspx. O registro afirma que ela permite a um atacante remoto executar código arbitrário.

Há exploração ativa conhecida?

O catálogo KEV da CISA não a lista no registro e não há exploração confirmada nas fontes consultadas. O registro referencia um repositório de terceiros marcado como Exploit, então o risco discutido publicamente deve ser considerado.

Existe versão corrigida?

Nenhuma versão corrigida consta no registro. Consulte o fabricante ou distribuidor para atualização ou aviso e restrinja a exposição de rede até que uma correção seja confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.