CVE-2019-25778 – SQL Injection no SeaCMS 8.7
SeaCMS até a versão 8.7 permite injeção SQL não autenticada via parâmetro rlist[]. O atacante pode enviar requisições GET manipuladas e obter dados sensíveis através de mensagens de erro. A vulnerabilidade tem CVSS 8.2 (alta) e foi confirmada em 2023‑10‑14. O risco é crítico para ambientes web que utilizam o SeaCMS. A prioridade de mitigação é alta.
A vulnerabilidade está documentada no NVD com CVSS 8.2 e evidência de exploração pela Shadowserver, porém não há dados adicionais de EPSS ou CISA KEV para confirmar a criticidade, justificando nível médio.
O que aconteceu
Um atacante remoto explora a falta de validação do parâmetro rlist[] em /comment/api/index.php. Ao inserir valores entre crases (`) e usar a função extractvalue, ele força o banco a gerar erros que revelam informações internas. O CVSS 8.2 indica ataque remoto, baixa complexidade, sem necessidade de privilégios ou interação do usuário. O EPSS não foi citado, mas a evidência de exploração foi observada pela Shadowserver em 14/10/2023.
Por que isso importa
A falha permite leitura não autorizada de dados de banco, potencialmente expondo credenciais, configurações e informações de clientes. Em ambientes corporativos, a divulgação de dados pode gerar perdas de confidencialidade, compliance e reputação. A exploração não requer autenticação, facilitando ataques automatizados.
Quem está em risco
Organizações que utilizam SeaCMS versão 8.7 ou anterior, especialmente sites corporativos e de infraestrutura que expõem o endpoint /comment/api/index.php. O risco é global e afeta qualquer região onde o CMS esteja em produção.
Detalhes técnicos
Vetores: rede (AV:N), complexidade baixa (AC:L), privilégios nenhum (PR:N), sem interação do usuário (UI:N). Mecanismo: injeção SQL via parâmetro rlist[] em requisição GET. Técnica MITRE ATT&CK: T1190 (Exploit Public-Facing Application) e T1059.007 (Command Injection – SQL). CWE: 89 – Improper Neutralization of Special Elements used in an SQL Command.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o SeaCMS para a versão 8.8 ou superior, onde o parâmetro rlist[] foi sanitizado.
- 2
Caso a atualização não seja viável, implemente validação estrita de entrada para rlist[] no código ou via WAF, bloqueando caracteres de crase (`) e funções SQL como extractvalue.
- 3
Habilite logs detalhados de acesso web e configure alertas para requisições GET ao caminho /comment/api/index.php contendo o parâmetro rlist[].
Sugestões de detecção
- ›
Consultar o access log do servidor web (ex.: /var/log/nginx/access.log) por linhas contendo "/comment/api/index.php" e "rlist%5B%5D" ou "rlist[]" seguido de "`" ou "extractvalue"; exemplo de grep: grep -E "\/comment\/api\/index\.php.*rlist\[\].*(%60|extractvalue)" /var/log/nginx/access.log
- ›
Criar regra de correlação no SIEM que dispare ao detectar respostas HTTP 500 ou mensagens de erro de SQL contendo "SQL syntax" ou "extractvalue" provenientes do endpoint acima.
Falsos positivos
Requisições legítimas ao endpoint podem usar rlist[] para funcionalidades internas, mas a presença de crases ou a função extractvalue é atípica e indica provável exploração.