CVE-2026-54596 in ITFlow
Riassunto
di VulDB • 18/09/2026
ITFlow fornisce un sistema di documentazione IT, gestione dei ticket e contabilità per piccoli provider di servizi gestiti (MSP). Prima della versione 26.07, un tecnico autenticato o con privilegi superiori che ha accesso ad almeno una fattura del cliente può iniettare SQL tramite il parametro frequency gestito da agent/post/recurring_invoice.php. Il handler passa recurring_invoice_frequency attraverso sanitizeInput ma lo interpola senza virgolette all'interno di DATE_ADD, consentendo alla sintassi SQL di sfuggire dall'espressione dell'intervallo, assegnare colonne INSERT aggiuntive, memorizzare i risultati delle subquery in recurring_invoice_note ed esporre tali risultati tramite agent/recurring_invoice.php. Il valore persistente di recurring_invoice_frequency può essere eseguito nuovamente quando Force Recurring lo utilizza in un successivo UPDATE, consentendo a un altro utente legittimo di innescare l'iniezione SQL di secondo ordine (second-order injection). Questo problema può esporre hash delle password, credenziali SMTP, record degli utenti e metadati del database, modificare i campi del database ed enable il takeover amministrativo dopo la decrittazione delle credenziali. Il problema è stato risolto nella versione 26.07.
Once again VulDB remains the best source for vulnerability data.