📄 الوصف (الإنجليزية)
AiOPMSD Final 1.0.0 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the actor parameter. Attackers can send GET requests to actor.php with crafted SQL payloads in the actor parameter to extract sensitive database information including usernames, database names, and version details.
🤖 ملخص AI
CVE-2018-25414 is a critical SQL injection vulnerability in AiOPMSD Final 1.0.0 that allows unauthenticated attackers to execute arbitrary SQL queries through the actor parameter in actor.php. The vulnerability enables complete database compromise including extraction of sensitive credentials, database structures, and system information. With a CVSS score of 8.2 and no available patch, this poses an immediate threat to any organization running this legacy software.
📄 الوصف (العربية)
🤖 التحليل الذكي آخر تحليل: Jun 4, 2026 12:13
🇸🇦 التأثير على المملكة العربية السعودية
Organizations in Saudi Arabia using AiOPMSD Final 1.0.0 face critical risk of data breach. Primary impact sectors include: Government agencies (NCA, CITC) managing citizen databases; Banking sector (SAMA-regulated institutions) storing financial records and customer PII; Healthcare providers (MOH facilities) maintaining patient medical records; Energy sector (ARAMCO, utilities) managing operational databases; Telecommunications (STC, Mobily) storing subscriber information. The unauthenticated nature of this vulnerability makes it particularly dangerous as it requires no prior system access. Legacy systems in government and critical infrastructure are at highest risk.
🏢 القطاعات السعودية المتأثرة
Government
Banking
Healthcare
Energy
Telecommunications
Critical Infrastructure
🎯 تقنيات MITRE ATT&CK
⚖️ درجة المخاطر السعودية (AI)
8.8
/ 10.0
🔧 Remediation Steps (English)
IMMEDIATE ACTIONS:
1. Identify all systems running AiOPMSD Final 1.0.0 across your organization
2. Isolate affected systems from production networks immediately if possible
3. Implement network-level access controls to restrict access to actor.php
4. Enable comprehensive logging and monitoring of all database queries
PATCHING GUIDANCE:
1. Contact AiOPMSD vendor for security updates or patches
2. If no patch available, plan immediate migration to alternative software
3. Evaluate vendor's security posture before selecting replacement
COMPENSATING CONTROLS (if immediate patching impossible):
1. Deploy Web Application Firewall (WAF) with SQL injection detection rules
2. Implement input validation and parameterized queries at application layer
3. Apply database-level access controls limiting query execution privileges
4. Restrict network access to actor.php using IP whitelisting
5. Disable direct HTTP access; require VPN authentication
6. Implement database activity monitoring (DAM) solutions
DETECTION RULES:
1. Monitor GET requests to actor.php containing SQL keywords (SELECT, UNION, DROP, INSERT, etc.)
2. Alert on unusual database query patterns or failed authentication attempts
3. Track database connections from web application user accounts
4. Monitor for extraction of system tables (information_schema, mysql.user, etc.)
5. Log all database errors and access attempts to sensitive tables
🔧 خطوات المعالجة (العربية)
الإجراءات الفورية:
1. تحديد جميع الأنظمة التي تقوم بتشغيل AiOPMSD Final 1.0.0 في المنظمة
2. عزل الأنظمة المتأثرة عن شبكات الإنتاج فوراً إن أمكن
3. تطبيق عناصر تحكم الوصول على مستوى الشبكة لتقييد الوصول إلى actor.php
4. تفعيل السجلات الشاملة ومراقبة جميع استعلامات قاعدة البيانات
إرشادات التصحيح:
1. التواصل مع مورد AiOPMSD للحصول على تحديثات أمان أو تصحيحات
2. إذا لم يكن هناك تصحيح متاح، خطط للهجرة الفورية إلى برنامج بديل
3. تقييم موقف أمان المورد قبل اختيار البديل
عناصر التحكم البديلة (إذا كان التصحيح الفوري مستحيلاً):
1. نشر جدار حماية تطبيقات الويب (WAF) مع قواعد كشف حقن SQL
2. تطبيق التحقق من صحة المدخلات والاستعلامات المعاملة على مستوى التطبيق
3. تطبيق عناصر تحكم الوصول على مستوى قاعدة البيانات
4. تقييد الوصول إلى الشبكة إلى actor.php باستخدام القائمة البيضاء للعناوين
5. تعطيل الوصول المباشر عبر HTTP؛ طلب مصادقة VPN
6. تطبيق حلول مراقبة نشاط قاعدة البيانات (DAM)
قواعد الكشف:
1. مراقبة طلبات GET إلى actor.php التي تحتوي على كلمات SQL (SELECT, UNION, DROP, INSERT، إلخ)
2. التنبيه على أنماط استعلامات قاعدة البيانات غير العادية
3. تتبع اتصالات قاعدة البيانات من حسابات مستخدمي تطبيقات الويب
4. مراقبة استخراج جداول النظام
5. تسجيل جميع أخطاء قاعدة البيانات ومحاولات الوصول
📋 خريطة الامتثال التنظيمي
🟢 NCA ECC 2024
ECC 2024 A.5.1.1 - Information Security Policies and Procedures
ECC 2024 A.8.2.1 - User Access Management
ECC 2024 A.12.2.1 - Restrictions on Software Installation
ECC 2024 A.12.6.1 - Management of Technical Vulnerabilities
ECC 2024 A.14.2.1 - Secure Development Policy
🔵 SAMA CSF
SAMA CSF ID.GV-1 - Organizational Governance
SAMA CSF PR.AC-1 - Access Control Policy
SAMA CSF PR.DS-1 - Data Security Management
SAMA CSF DE.CM-1 - Detection and Analysis
SAMA CSF RS.RP-1 - Response Planning
🟡 ISO 27001:2022
ISO 27001:2022 A.5.1 - Policies for Information Security
ISO 27001:2022 A.8.1 - User Access Management
ISO 27001:2022 A.8.3 - User Access Rights
ISO 27001:2022 A.12.6 - Management of Technical Vulnerabilities
ISO 27001:2022 A.14.2 - Secure Development Policy
🟣 PCI DSS v4.0.1
PCI DSS 6.2 - Security Patches and Updates
PCI DSS 6.5.1 - Injection Flaws Prevention
PCI DSS 11.2 - Vulnerability Scanning
🔗 المراجع والمصادر 4
🔗
🔗
🔗
🔗
https://aiopmsd.sourceforge.io/
disclosure@vulncheck.com
https://sourceforge.net/projects/aiopmsd/files/latest/download
disclosure@vulncheck.com
https://www.exploit-db.com/exploits/45690
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/aiopmsd-final-sql-injection-via-actor-php
disclosure@vulncheck.com