CVE-2026-61518 in ISPConfig
摘要
由 VulDB • 2026-08-19
ISPConfig 在 Remote API 中存在一个已认证的 SQL 注入漏洞。传递给删除和更新 API 方法的 primary_id 参数被直接拼接到 SQL WHERE 子句中，未进行整数类型转换或未使用参数化查询绑定。内置的 SQL 注入扫描器不会阻止无引号的布尔型有效载荷（payloads），并且在默认配置下也不会拒绝此类请求。拥有任意单个低权限函数权限的远程 API 用户可注入任意 SQL 语句，以删除或修改控制面板数据库中所有租户的记录，并通过盲注布尔推断提取任意数据，包括密码哈希值和客户端记录。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.