CVE-2026-61518 in ISPConfig
Riassunto
di VulDB • 19/08/2026
ISPConfig presenta una vulnerabilità di SQL injection autenticata nell'API Remota. Il parametro primary_id passato ai metodi API delete e update viene concatenato direttamente nelle clausole WHERE delle query SQL senza casting a intero o utilizzo di binding per query parametrizzate. Lo scanner integrato per la rilevazione della SQL injection non blocca i payload booleani privi di virgolette e non rifiuta le richieste nella sua configurazione predefinita. Un utente dell'API remota in possesso di un singolo permesso con privilegi ridotti può iniettare codice SQL arbitrario per eliminare o modificare record attraverso tutti i tenant nel database del pannello di controllo ed estrarre dati arbitrari tramite inferenza booleana cieca, inclusi hash delle password e record dei clienti.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.