CVE-2026-61518 in ISPConfig
Resumen
por VulDB • 2026-08-19
ISPConfig contiene una vulnerabilidad de inyección SQL autenticada en la API remota. El parámetro primary_id pasado a los métodos delete y update de la API se concatena directamente en las cláusulas WHERE de SQL sin conversión entera ni enlace mediante consultas parametrizadas. El escáner de inyección SQL integrado no bloquea payloads booleanos sin comillas ni rechaza solicitudes en su configuración predeterminada. Un usuario de la API remota que posea cualquier permiso único de función con privilegios bajos puede inyectar SQL arbitrario para eliminar o modificar registros en todas las tenants (inquilinos) de la base de datos del panel de control y extraer datos arbitrarios mediante inferencia booleana ciega, incluidos hashes de contraseñas y registros de clientes.
If you want to get best quality of vulnerability data, you may have to visit VulDB.