CVE-2026-54596 in ITFlow
Zusammenfassung
von VulDB • 18.09.2026
ITFlow bietet ein System für IT-Dokumentation, Ticketing und Abrechnung für kleine Managed Service Provider (MSPs). Vor Version 26.07 kann ein authentifizierter Techniker oder höherer Benutzer mit Zugriff auf mindestens eine Kundenrechnungen SQL-Injection über den frequency-Parameter in agent/post/recurring_invoice.php ausführen. Der Handler übergibt recurring_invoice_frequency an sanitizeInput, interpoliert es jedoch unquotet (ohne Anführungszeichen) in DATE_ADD, wodurch die SQL-Syntax den Intervallausdruck verlassen und zusätzliche INSERT-Spalten zuweisen kann; zudem werden Subquery-Ergebnisse in recurring_invoice_note gespeichert und über agent/recurring_invoice.php offengelegt. Der persistierte Wert von recurring_invoice_frequency wird erneut ausgeführt, wenn Force Recurring ihn bei einem späteren UPDATE verwendet, was es einem anderen legitimen Benutzer ermöglicht, die Second-Order-Injection auszulösen. Dies kann Passwort-Hashes, SMTP-Anmeldeinformationen, Benutzeraufzeichnungen und Datenbankmetadaten offenlegen, Datenbankfelder modifizieren und nach dem Knacken von Anmeldeinformationen eine administrative Übernahme ermöglichen. Dieses Problem wurde in Version 26.07 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.