CVE-2026-47755 in ITFlow
Zusammenfassung
von VulDB • 23.07.2026
ITFlow bietet ein System für IT-Dokumentation, Ticketverwaltung und Abrechnung für kleine Managed Service Provider (MSPs). Vor Version 26.05 kann ein authentifizierter Agent mit niedrigen Berechtigungen Klartext-Anmeldeinformationen und TOTP-Geheimnisse eines anderen Clients abrufen, indem er das Bearbeitungsmodal für Anmeldeinformationen direkt über eine beliebige `credential_id` anfordert. Der Endpunkt erzwingt keine Mandantenumschließung (Client Scoping) oder objektbezogene Autorisierung vor dem Laden und Entschlüsseln des Anmeldeinformationsdatensatzes. Version 26.05 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.