CVE-2026-54596

Résumé

ITFlow fournit un système de documentation informatique, de ticketing et de comptabilité pour les petits prestataires de services gérés. Avant la version 26.07, un Technicien authentifié ou de niveau supérieur ayant accès à au moins une facture client peut injecter du SQL via le paramètre frequency traité par agent/post/recurring_invoice.php. Le gestionnaire transmet recurring_invoice_frequency à sanitizeInput mais l'interpole sans guillemets dans DATE_ADD, permettant à la syntaxe SQL de s'échapper de l'expression d'intervalle, d'assigner des colonnes INSERT supplémentaires, de stocker les résultats de sous-requêtes dans recurring_invoice_note et d'exposer ces résultats via agent/recurring_invoice.php. Le recurring_invoice_frequency persisté peut s'exécuter à nouveau lorsque Force Recurring l'utilise dans un UPDATE ultérieur, permettant à un autre utilisateur légitime de déclencher l'injection de second ordre. Cela peut exposer les hachages de mots de passe, les identifiants SMTP, les enregistrements utilisateurs et les métadonnées de la base de données, modifier les champs de la base de données et permettre une prise de contrôle administrative après cassage des identifiants. Ce problème est corrigé dans la version 26.07.

• CVE-2026-54596PoC

  Exploit de preuve de concept pour CVE-2026-54596 : injection SQL authentifiée dans le paramètre recurring_invoice_frequency d'ITFlow permettant l'exfiltration complète de la base de données, y compris les hachages d'administrateur et les identifiants.