CVE-2026-54596

Resumen

ITFlow proporciona un sistema de documentación, tickets y contabilidad de TI para pequeños proveedores de servicios gestionados. Antes de la versión 26.07, un Técnico autenticado o con un rol superior con acceso al menos a una factura de cliente puede inyectar SQL a través del parámetro frequency gestionado por agent/post/recurring_invoice.php. El manejador pasa recurring_invoice_frequency a través de sanitizeInput pero lo interpola sin comillas en DATE_ADD, lo que permite que la sintaxis SQL escape de la expresión de intervalo, asigne columnas INSERT adicionales, almacene resultados de subconsultas en recurring_invoice_note y exponga esos resultados a través de agent/recurring_invoice.php. El recurring_invoice_frequency persistido puede ejecutarse de nuevo cuando Force Recurring lo utiliza en un UPDATE posterior, permitiendo que otro usuario legítimo desencadene la inyección de segundo orden. Esto puede exponer hashes de contraseñas, credenciales SMTP, registros de usuarios y metadatos de la base de datos, modificar campos de la base de datos y permitir la toma de control administrativo tras el crackeo de credenciales. Este problema está corregido en la versión 26.07.

• CVE-2026-54596PoC

  Explotación de prueba de concepto para CVE-2026-54596: inyección SQL autenticada en el parámetro recurring_invoice_frequency de ITFlow que permite la exfiltración completa de la base de datos, incluidos hashes de administrador y credenciales.