CVE-2026-54596

ملخص

يوفر ITFlow نظام توثيق وتذاكر ومحاسبة لتقنية المعلومات لمزودي الخدمات المُدارة الصغار. قبل الإصدار 26.07، يمكن لفني مُصادَق عليه أو أعلى صلاحية لديه إمكانية الوصول إلى فاتورة عميل واحدة على الأقل أن يحقن SQL عبر معامل frequency الذي يعالجه agent/post/recurring_invoice.php. يمرر المعالج recurring_invoice_frequency عبر sanitizeInput لكنه يُدرجه بدون علامات اقتباس في DATE_ADD، مما يسمح لصيغة SQL بالخروج من تعبير الفاصل الزمني، وتعيين أعمدة INSERT إضافية، وتخزين نتائج الاستعلام الفرعي في recurring_invoice_note، وكشف تلك النتائج عبر agent/recurring_invoice.php. يمكن لـ recurring_invoice_frequency المخزَّن أن يُنفَّذ مرة أخرى عندما يستخدمه Force Recurring في UPDATE لاحق، مما يسمح لمستخدم شرعي آخر بإطلاق حقن الدرجة الثانية. قد يؤدي ذلك إلى كشف تجزئات كلمات المرور، وبيانات اعتماد SMTP، وسجلات المستخدمين، وبيانات وصفية لقاعدة البيانات، وتعديل حقول قاعدة البيانات، وتمكين الاستيلاء الإداري بعد كسر بيانات الاعتماد. تم إصلاح هذه المشكلة في الإصدار 26.07.

• CVE-2026-54596PoC

  استغلال إثبات المفهوم لـ CVE-2026-54596: حقن SQL مصادق عليه في معلمة recurring_invoice_frequency في ITFlow مما يتيح استخراج قاعدة البيانات بالكامل من تجزئات المسؤول وبيانات الاعتماد.