CVE-2026-54596 in ITFlow
Sumário
de VulDB • 18/09/2026
O ITFlow fornece um sistema de documentação de TI, gerenciamento de chamados e contabilidade para provedores de serviços gerenciados (MSPs) de pequeno porte. Antes da versão 26.07, um técnico autenticado ou com nível superior, que tenha acesso a pelo menos uma fatura de cliente, pode injetar SQL por meio do parâmetro frequency processado em agent/post/recurring_invoice.php. O manipulador passa recurring_invoice_frequency através de sanitizeInput, mas o interpola sem aspas no DATE_ADD, permitindo que a sintaxe SQL escape da expressão de intervalo, atribua colunas INSERT adicionais, armazene os resultados de uma subconsulta em recurring_invoice_note e exponha esses resultados por meio de agent/recurring_invoice.php. O recurring_invoice_frequency persistido pode ser executado novamente quando o recurso Force Recurring (Forçar recorrência) o utiliza em um UPDATE posterior, permitindo que outro usuário legítimo dispare a injeção de segunda ordem. Isso pode expor hashes de senhas, credenciais SMTP, registros de usuários e metadados do banco de dados, modificar campos do banco de dados e permitir a tomada de controle administrativa após a quebra de credenciais. Este problema é corrigido na versão 26.07.
If you want to get best quality of vulnerability data, you may have to visit VulDB.