CVE-2026-61518 in ISPConfig
요약
\~에 의해 VulDB • 2026. 08. 19.
ISPConfig에는 인증된 원격 API에서 SQL 인젝션 취약점이 존재합니다. 삭제 및 업데이트 API 메서드에 전달되는 primary_id 매개변수는 정수 캐스팅이나 파라미터화된 쿼리 바인딩 없이 SQL WHERE 절에 직접 연결됩니다. 내장 SQL 인젝션 스캐너는 따옴표 없는 부울 페이로드를 차단하지 않으며, 기본 구성에서 요청을 거부하지 않습니다. 제어판 데이터베이스의 모든 테넌트 간 레코드를 삭제하거나 수정하고 블라인드 부율 추론을 통해 비밀번호 해시 및 클라이언트 기록 등 임의 데이터를 추출할 수 있는 낮은 권한의 단일 함수 권한만 보유한 원격 API 사용자가 임의 SQL을 인젝션할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.