CVE-2026-61518 in ISPConfig
Résumé
par VulDB • 20/08/2026
ISPConfig contient une vulnérabilité d'injection SQL authentifiée dans l'API distante. Le paramètre `primary_id` transmis aux méthodes API de suppression et de mise à jour est concaténé directement dans les clauses WHERE des requêtes SQL sans conversion en entier ni liaison de paramètres (parameterized query binding). L'analyseur d'injection SQL intégré ne bloque pas les charges utiles booléennes sans guillemets et n'accepte pas les demandes dans sa configuration par défaut. Un utilisateur disposant uniquement d'une autorisation à faible privilège pour une fonction unique peut injecter du code SQL arbitraire afin de supprimer ou modifier des enregistrements sur tous les locataires (tenants) de la base de données du panneau de contrôle, et extraire des données arbitraires par inférence booléenne aveugle, y compris les hachages de mots de passe et les enregistrements clients.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.