CVE-2026-54596 - recurring_invoice_frequency पैरामीटर के माध्यम से प्रमाणित SQL इंजेक्शन पूर्ण डेटाबेस एक्सफिल्ट्रेशन सक्षम करता है

गंभीरता: उच्च
सलाह: GHSA-f9m3-qjc9-v27j
में सुधार किया गया: Commit 7211426
लेखक: iltosec

सारांश

ITFlow के recurring invoice निर्माण एंडपॉइंट में एक SQL इंजेक्शन भेद्यता किसी भी प्रमाणित उपयोगकर्ता को Technician भूमिका के साथ डेटाबेस से मनमाना डेटा निकालने की अनुमति देती है। एक Technician जिसके पास कम से कम एक क्लाइंट इनवॉइस तक पहुंच है, वह एक HTTP अनुरोध में एडमिन पासवर्ड हैश, SMTP क्रेडेंशियल्स और सभी उपयोगकर्ता खाता डेटा निकाल सकता है - बिना किसी एडमिन इंटरैक्शन के।

यह एक प्रमाणित भेद्यता है। न्यूनतम आवश्यक भूमिका Technician है।

पूरा लेख: CVE-2026-54596: प्रमाणित SQL इंजेक्शन recurring_invoice_frequency पैरामीटर के माध्यम से पूर्ण डेटाबेस एक्सफिल्ट्रेशन सक्षम करता है

उपयोग

python exploit.py http://itflow.com [email protected] 'emsJ_;PD@@;-r>4' 2 --all