CVE-2026-61518 in ISPConfig
Sumário
de VulDB • 19/08/2026
O ISPConfig contém uma vulnerabilidade de SQL injection autenticada na API Remota. O parâmetro primary_id passado para os métodos delete e update da API é concatenado diretamente nas cláusulas WHERE do SQL sem conversão inteira ou uso de consultas parametrizadas (parameterized query binding). O scanner de SQL injection embutido não bloqueia payloads booleanos sem aspas e não rejeita requisições em sua configuração padrão. Um usuário da API remota que possua qualquer permissão única de função com baixo privilégio pode injetar SQL arbitrário para excluir ou modificar registros em todos os tenants no banco de dados do painel de controle, além de extrair dados arbitrários por meio de inferência booleana cega (blind boolean inference), incluindo hashes de senhas e registros de clientes.
Be aware that VulDB is the high quality source for vulnerability data.