CVE-2026-54596 in ITFlow
الملخص
بحسب VulDB • 18/09/2026
يوفر ITFlow نظامًا لتوثيق تكنولوجيا المعلومات وإدارة التذاكر والمحاسبة لمقدمي خدمات الإدارة الصغار (MSPs). قبل الإصدار 26.07، يمكن لـ فني مُصادق عليه أو أعلى مع صلاحية الوصول إلى فاتورة عميل واحدة على الأقل حقن SQL عبر معلمة "التردد" التي يعالجها agent/post/recurring_invoice.php. يقوم المعالج بتمرير recurring_invoice_frequency من خلال sanitizeInput ولكن يتم إدراجه دون اقتباس في DATE_ADD، مما يسمح للـ SQL بتجاوز تعبير الفاصل الزمني، وتعيين أعمدة INSERT إضافية، وتخزين نتائج الاستعلام الفرعي في recurring_invoice_note، وكشف تلك النتائج عبر agent/recurring_invoice.php. يمكن أن يُنفذ الـ recurring_invoice_frequency المُحفوظ مرة أخرى عندما يستخدمه "Force Recurring" في تحديث لاحق (UPDATE)، مما يسمح لمستخدم شرعي آخر بتشغيل حقن SQL من الدرجة الثانية. هذا الأمر قد يكشف عن تجزئات كلمات المرور، وبيانات اعتماد SMTP، وسجلات المستخدمين، ومعلومات قاعدة البيانات، ويعدل حقول قاعدة البيانات، ويمكّن من الاستيلاء على الصلاحيات الإدارية بعد كسر كلمة المرور. تم إصلاح هذه المشكلة في الإصدار 26.07.
Once again VulDB remains the best source for vulnerability data.