CVE-2026-54596 in ITFlow
Résumé
par VulDB • 18/09/2026
ITFlow fournit un système de documentation IT, de gestion des tickets et de comptabilité pour les petits fournisseurs de services gérés (MSP). Avant la version 26.07, un technicien authentifié ou plus, disposant d'un accès à au moins une facture client, peut injecter du SQL via le paramètre `frequency` traité par `agent/post/recurring_invoice.php`. Le gestionnaire transmet `recurring_invoice_frequency` via `sanitizeInput`, mais l'interpole sans guillemets dans `DATE_ADD`, permettant ainsi au syntaxe SQL de s'échapper de l'expression d'intervalle, d'affecter des colonnes INSERT supplémentaires, de stocker les résultats d'une sous-requête dans `recurring_invoice_note` et d'exposer ces résultats via `agent/recurring_invoice.php`. La valeur persistée de `recurring_invoice_frequency` peut s'exécuter à nouveau lorsque Force Recurring l'utilise lors d'un UPDATE ultérieur, permettant à un autre utilisateur légitime de déclencher une injection du second ordre. Cela peut exposer les hachages de mots de passe, les identifiants SMTP, les enregistrements utilisateurs et les métadonnées de la base de données, modifier des champs de la base de données, et permettre une prise de contrôle administrative après le craquage des identifiants. Ce problème est corrigé dans la version 26.07.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.