Plataforma
other
Componente
sft
Corregido en
3.7.13
Se ha identificado una vulnerabilidad de inyección SQL en el software SFT desarrollado por Digiwin. Esta falla permite a atacantes no autenticados ejecutar comandos SQL arbitrarios de forma remota, comprometiendo potencialmente la integridad y confidencialidad de la base de datos. La vulnerabilidad afecta a las versiones desde 0 hasta 3.7.12, y se recomienda actualizar a la versión 3.7.13 para solucionar el problema.
La inyección SQL en SFT permite a un atacante acceder, modificar y eliminar datos almacenados en la base de datos. Esto podría resultar en la pérdida de información confidencial, la manipulación de datos críticos para el negocio, o incluso la toma de control completa del sistema. Un atacante podría extraer información de clientes, datos financieros, o cualquier otra información sensible almacenada en la base de datos. La falta de autenticación necesaria para explotar la vulnerabilidad amplía significativamente el radio de impacto, permitiendo a cualquier persona con acceso a la red explotarla. Esta vulnerabilidad se asemeja a otros casos de inyección SQL donde la falta de validación de entrada ha permitido el acceso no autorizado a datos sensibles.
La vulnerabilidad CVE-2025-7343 ha sido publicada el 2025-07-21. No se ha confirmado la explotación activa en entornos reales, pero la alta puntuación CVSS (9.8) indica un alto riesgo. No se ha añadido a la lista KEV de CISA al momento de la redacción. Se recomienda monitorear activamente los sistemas SFT para detectar cualquier actividad sospechosa.
Organizations utilizing SFT in environments with direct external access are at significant risk. This includes companies relying on SFT for data management or processing, particularly those with legacy configurations or inadequate input validation practices. Shared hosting environments where multiple users share the same SFT instance are also particularly vulnerable.
• linux / server: Monitor SFT application logs for unusual SQL queries or error messages indicating attempted SQL injection. Use journalctl -u sft to filter for relevant log entries. Implement auditd rules to track database access and modifications.
auditctl -w /path/to/sft/database -p wa -k sft_sql_injection• generic web: Use curl to test various endpoints with SQL injection payloads (e.g., ' OR '1'='1). Examine the response for signs of successful injection (e.g., unexpected data, database errors).
curl 'http://sft-server/endpoint?param=' OR '1'='1' --header 'Content-Type: application/x-www-form-urlencoded'disclosure
Estado del Exploit
EPSS
0.09% (26% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2025-7343 es actualizar a la versión 3.7.13 de SFT, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales como la validación estricta de todas las entradas de usuario y la limitación de los privilegios de la cuenta de base de datos utilizada por SFT. Considere la implementación de un firewall de aplicaciones web (WAF) para filtrar tráfico malicioso y bloquear intentos de inyección SQL. Revise y fortalezca las reglas de auditoría de la base de datos para detectar actividades sospechosas. Después de la actualización, confirme la corrección ejecutando pruebas de penetración para verificar que la vulnerabilidad ha sido eliminada.
Actualice Digiwin SFT a una versión posterior a la 3.7.12 para corregir la vulnerabilidad de inyección SQL. Consulte el sitio web de Digiwin para obtener la última versión y las instrucciones de actualización. Aplique las actualizaciones de seguridad tan pronto como estén disponibles.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-7343 is a critical SQL Injection vulnerability affecting SFT versions 0 through 3.7.12. It allows attackers to inject malicious SQL code, potentially compromising the entire database.
If you are using SFT versions 0.0 to 3.7.12, you are vulnerable. Verify your version and upgrade immediately.
Upgrade to SFT version 3.7.13 or later to resolve the vulnerability. If immediate upgrade is not possible, implement temporary workarounds like input sanitization.
While no active exploitation has been confirmed, the vulnerability's severity and ease of exploitation suggest a high probability of future attacks. Monitor security advisories.
Refer to the Digiwin security advisory for CVE-2025-7343. Check the Digiwin website or relevant security mailing lists for updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.