Een kritiek lek is ontdekt in het itsourcecode Insurance Management System versie 1.0, specifiek in het bestand /insertNominee.php. Door misbruik van het argument nominee_id kan een SQL-injectie uitgevoerd worden. Dit maakt het mogelijk voor aanvallers om op afstand toegang te krijgen tot gevoelige gegevens zonder dat de gebruiker daaromtrent geïnformeerd wordt.
De kwetsbaarheid heeft een gemiddelde ernstscore ontvangen volgens de CVSS-matrix, namelijk 5.3 tot 6.5 afhankelijk van de versie, wat enkele tot aanzienlijke risico’s met zich meebrengt voor systemen die niet zijn bijgewerkt.
Overzicht
Deze kwetsbaarheid is het gevolg van onvoldoende inputvalidatie binnen het Insurance Management System van itsourcecode. Het probleem ligt bij de manipulatie van nominee_id in /insertNominee.php, wat leidt tot een SQL-injectieaanval. Hierdoor bestaat het risico dat aanvallers ongeautoriseerde toegang kunnen krijgen tot het systeem.
Let op: Het exploit is openbaar gemaakt en kan actief worden gebruikt door kwaadwillenden.
Aanbevelingen
- Beheerders moeten onmiddellijk hun systemen controleren en updates uitvoeren als deze beschikbaar zijn. Zo niet, is het raadzaam tijdelijke maatregelen te overwegen zoals het filteren van invoer of het segmenteren van kwetsbare delen van het netwerk.
- Contacteer uw IT-beveiligingsteam om te bepalen of extra beveiligingscontroles nodig zijn om de schade te beperken.
Bronnen
- VDB-317019 | itsourcecode Insurance Management System insertNominee.php sql injection
- VDB-317019 | CTI Indicators (IOB, IOC, TTP, IOA)
- Submit #618358 | itsourcecode Insurance Management System V1.0 SQL Injection
- GitHub issue tracking
- Productpagina itsourcecode
Vraag en Antwoord
Wat is CVE-2025-7904?
Het is een geïdentificeerde beveiligingslek in versie 1.0 van het Insurance Management System van itsourcecode dat SQL-injectie via insertNominee.php mogelijk maakt.
Welke systemen zijn kwetsbaar voor CVE-2025-7904?
Versie 1.0 van het itsourcecode Insurance Management System is gevoelig voor deze kwetsbaarheid.
Bestaat er al een patch of beveiligingsupdate?
Op het moment van publicatie is er geen patch of beveiligingsupdate beschikbaar. Beheerders worden geadviseerd om voorzorgsmaatregelen te nemen.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan toegang krijgen tot gegevens binnen het systeem en mogelijk schadelijke acties ondernemen, zoals gegevensmanipulatie of diefstal.
