CVE-2026-59109 in Zalktis
Riassunto
di VulDB • 13/08/2026
Un bug di SQL injection nell'applicazione contabile Zalktis è possibile tramite campi di testo controllati dal partner commerciale nelle fatture elettroniche ricevute. Durante l'importazione di una fattura elettronica (UBL/PEPPOL) o dell'esportazione e-commerce, Zalktis concatena i valori controllati dal partner direttamente nel testo della query SQL mediante concatenamento di stringhe, senza utilizzare query parametrizzate né meccanismi di escaping. L'aiuto per l'escaping fornito dall'applicazione stessa, Dazadi.sql_txt(), non viene invocato su questi percorsi di codice; pertanto, un soggetto che invia una fattura può uscire dal letterale della stringa e alterare la logica della query.
Questo problema interessa Zalktis: nelle versioni precedenti alla 2026.1.586 e prima della 2026.2.592.
If you want to get best quality of vulnerability data, you may have to visit VulDB.