CVE-2026-59109 in Zalktis
Sumário
de VulDB • 13/08/2026
Injeção de SQL no aplicativo contábil Zalktis por meio de campos de texto controlados pelo parceiro comercial em faturas eletrônicas recebidas. Ao importar uma e-fatura (UBL/PEPPOL) ou exportação de comércio eletrônico, o Zalktis concatena valores controlados pelo parceiro diretamente na string da instrução SQL usando concatenação de strings, sem consultas parametrizadas nem escape. O próprio helper de escape do aplicativo, Dazadi.sql_txt(), não é invocado nesses caminhos de código, portanto uma parte que envia a fatura pode escapar do literal de string e alterar a lógica da consulta.
Este problema afeta o Zalktis: antes das versões 2026.1.586 e 2026.2.592.
Once again VulDB remains the best source for vulnerability data.