CVE-2025-8587: Vulnerabilidade de SQL Injection no SKSPro da AKCE
A CVE-2025-8587 é uma falha de SQL Injection (CWE-89) no SKSPro, produto da AKCE Software Technology R&D Industry and Trade Inc., descrita como afetando versões até 07012026. A NVD atribui pontuação 9.8 (CVSS 3.1, crítica), enquanto o CNA USOM informa 8.6. Nas fontes consultadas não há inclusão no KEV nem exploração confirmada, e o registro não lista versão corrigida.
Visão geral
A CVE-2025-8587 descreve uma fraqueza de SQL Injection (CWE-89) no SKSPro, produto da AKCE Software Technology R&D Industry and Trade Inc. O registro foi publicado em 2026-02-02 pelo CNA iletisim@usom.gov.tr e está acompanhado no aviso USOM TR-26-0011 e no comunicado da Siber Güvenlik turca.
Impacto
- O vetor CVSS 3.1 registrado pela NVD é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- Falhas de SQL Injection podem permitir a leitura, alteração ou remoção de dados no banco de dados e afetar a disponibilidade da aplicação (inferência a partir do vetor e da classe CWE).
- A pontuação 8.6 do CNA (CVSS 3.1) é inferior à da NVD; o motivo da diferença não consta no registro.
Produtos e versões afetadas
- Produto indicado no registro: Akceyazilim Skspro.
- Versões indicadas no registro: ≤ 2026-07-01. A descrição também afirma que o problema afeta o SKSPro até 07012026. O registro não concilia as duas notações, então o limite exato deve ser confirmado com o fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nas fontes consultadas não aparece exploração confirmada na natureza.
Correção e mitigação
- O registro não contém versão corrigida nem referência a patch. Se existe correção não é possível determinar com os dados disponíveis.
- Consulte o fornecedor ou os avisos vinculados acima para verificar uma versão atualizada do SKSPro e aplique-a assim que confirmada.
- Enquanto a correção não for verificada, reduza a exposição: restrinja o acesso à aplicação a redes confiáveis, utilize um firewall de aplicação web à frente do sistema, valide e limite as entradas no servidor e use contas de banco de dados com privilégio mínimo.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de padrões de entrada incomuns nos endpoints do SKSPro e de mensagens de erro de banco de dados retornadas ao cliente.
- Monitore a atividade do banco para consultas inesperadas, leituras em massa ou alterações de esquema originadas da conta da aplicação.
- Correlacione os alertas com logs de autenticação e acesso para identificar origens incomuns.
Limitações das informações disponíveis
- O registro não identifica o componente, parâmetro ou endpoint vulnerável.
- Não há versão corrigida, patch do fornecedor ou declaração do fornecedor.
- Dados de EPSS e SSVC estão ausentes, e a entrada do KEV está vazia para esta CVE.
- O intervalo de versões afetadas é expresso em dois formatos diferentes.
Perguntas frequentes
Qual tipo de vulnerabilidade é a CVE-2025-8587?
É uma fraqueza de SQL Injection classificada como CWE-89, que afeta o AKCE SKSPro segundo o registro.
Existe versão corrigida disponível?
O registro não indica versão corrigida nem patch. Consulte o fornecedor e o aviso USOM vinculado para atualizações.
Esta CVE é explorada na natureza?
Ela não aparece no catálogo KEV da CISA no registro, e nas fontes consultadas não há exploração confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.