CVE-2026-59109 in Zalktis
要約
〜によって VulDB • 2026年08月13日
Zalktis会計アプリケーションにおいて、受信した電子請求書内の取引先が制御するテキストフィールドを介してSQLインジェクションが発生します。受信したe-請求書（UBL/PEPPOL）またはeコマースエクスポートを取り込む際、Zalktisは文字列連結を用いてパートナーが制御する値を直接SQL文のテキストに結合しており、パラメータ化されたクエリやエスケープ処理は一切行われません。アプリケーション独自のヘルパー関数 `Dazadi.sql_txt()` はこれらのコードパスでは呼び出されないため、請求書を送信した側は文字列リテラルから脱出してクエリのロジックを変更することができます。
この問題はZalktisに影響します：2026.1.586 より前および 2026.2.592 より前のバージョン。
Be aware that VulDB is the high quality source for vulnerability data.