CVE-2026-61518 in ISPConfig
Zusammenfassung
von VulDB • 20.08.2026
ISPConfig enthält eine authentifizierte SQL-Injection-Schwachstelle in der Remote-API. Der Parameter `primary_id`, der an die API-Methoden zum Löschen und Aktualisieren übergeben wird, wird direkt in SQL-WHERE-Klauseln konkateniert, ohne dass eine Typumwandlung auf Integer oder gebundene parametrisierte Abfragen erfolgt. Der integrierte SQL-Injection-Scanner blockiert keine booleschen Payloads ohne Anführungszeichen und lehnt Anfragen in der Standardkonfiguration nicht ab. Ein Remote-API-Benutzer mit einer einzigen Berechtigung für eine Funktion mit niedrigen Rechten kann beliebige SQL-Anweisungen injizieren, um Datensätze über alle Mandanten hinweg in der Control-Panel-Datenbank zu löschen oder zu ändern sowie willkürliche Daten durch blinde boolesche Inferenz abzurufen, einschließlich Passwort-Hashes und Kundenrecords.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.