CVE-2026-61518 in ISPConfig
Сводка
по VulDB • 20.08.2026
ISPConfig содержит уязвимость инъекции SQL с аутентификацией в Remote API. Параметр primary_id, передаваемый методам delete и update API, напрямую конкатенируется в предложения WHERE запросов SQL без приведения к целочисленному типу или использования параметризованных запросов (parameterized query binding). Встроенный сканер инъекций SQL не блокирует булевые payload-ы без кавычек и не отклоняет запросы при конфигурации по умолчанию. Удаленный пользователь API, обладающий любым одним разрешением с низкими привилегиями, может внедрять произвольные SQL-запросы для удаления или изменения записей во всех арендаторах в базе данных панели управления и извлекать произвольные данные через слепой булевый вывод (blind boolean inference), включая хеши паролей и записи клиентов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.