FrontAccounting bis 2.4.19 get_gl_transactions filter_type SQL Injection

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
7.0	$0-$5k	1.30

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in FrontAccounting bis 2.4.19 gefunden. Dabei betrifft es die Funktion get_gl_transactions. Durch das Manipulieren des Arguments filter_type mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2026-40524. Der Angriff kann über das Netzwerk passieren. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine kritische Schwachstelle wurde in FrontAccounting bis 2.4.19 entdeckt. Betroffen davon ist die Funktion get_gl_transactions. Mit der Manipulation des Arguments filter_type mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-89. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

FrontAccounting before 2.4.20 contains a SQL injection vulnerability in the get_gl_transactions() function where the filter_type parameter is concatenated directly into a SQL IN() clause without parameterization. Attackers with SA_GLANALYTIC permission can inject arbitrary SQL by supplying a closing parenthesis followed by malicious conditions to extract sensitive journal entry data through boolean-based blind SQL injection with reliable response size differentials.

Die Schwachstelle wurde durch Jiva veröffentlicht. Auf jivasecurity.com kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet seit dem 13.04.2026 als CVE-2026-40524 statt. Die Ausnutzbarkeit ist als leicht bekannt. Der Angriff kann über das Netzwerk passieren. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. MITRE ATT&CK führt die Angriffstechnik T1505 für diese Schwachstelle.

Ein Upgrade auf die Version 2.4.20 vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 647a18196caad27f96ea852e993c9e30f815357f beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Typ

• Accounting Software

Name

• FrontAccounting

Version

• 2.4.0
• 2.4.1
• 2.4.2
• 2.4.3
• 2.4.4
• 2.4.5
• 2.4.6
• 2.4.7
• 2.4.8
• 2.4.9
• 2.4.10
• 2.4.11
• 2.4.12
• 2.4.13
• 2.4.14
• 2.4.15
• 2.4.16
• 2.4.17
• 2.4.18
• 2.4.19

Lizenz

• Open-Source

CPE 2.3info

• 🔒
• 🔒
• 🔒

CPE 2.2info

• 🔒
• 🔒
• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 7.2
VulDB Meta Temp Score: 7.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 8.1
CNA Vector (VulnCheck): 🔒

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: FrontAccounting 2.4.20
Patch: 647a18196caad27f96ea852e993c9e30f815357f

Timelineinfo

13.04.2026 CVE zugewiesen
29.06.2026 +77 Tage Advisory veröffentlicht
29.06.2026 +0 Tage VulDB Eintrag erstellt
29.06.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: jivasecurity.com
Person: Jiva
Status: Bestätigt

CVE: CVE-2026-40524 (🔒)
GCVE (CVE): GCVE-0-2026-40524
GCVE (VulDB): GCVE-100-374618

Eintraginfo

Erstellt: 29.06.2026 16:33
Anpassungen: 29.06.2026 16:33 (80)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Might our Artificial Intelligence support you?

Check our Alexa App!