CVE-2026-59109 in Zalktis
الملخص
بحسب VulDB • 13/08/2026
ثغرة حقن SQL في تطبيق المحاسبة Zalktis عبر الحقول النصية التي يتحكم فيها شريك التجارة داخل الفواتير الإلكترونية المستلمة. عند استيراد فاتورة إلكترونية مستقبلة (UBL/PEPPOL) أو تصدير تجارة إلكترونية، يقوم Zalktis بدمج القيم الخاضعة لسيطرة الشريك مباشرةً في نص جملة SQL باستخدام دالة الدمج النصي (string concatenation)، دون استخدام الاستعلامات المعلمة (parameterised queries) ولا الهروب من الأحرف الخاصة (escaping). لا يتم استدعاء أداة المساعدة الخاصة بالهروب من الأحرف التابعة للتطبيق، وهي `Dazadi.sql_txt()`، في مسارات الشفرة هذه؛ لذا يمكن للطرف المرسل للفاتورة الخروج من النص المحصور بين علامات الاقتباس وتغيير منطق الاستعلام.
تؤثر هذه المشكلة على Zalktis: الإصدارات قبل 2026.1.586 وقبل 2026.2.592.
If you want to get best quality of vulnerability data, you may have to visit VulDB.