CVE-2026-54596

概要

ITFlowは、小規模なマネージドサービスプロバイダー向けにITドキュメント、チケット、会計システムを提供しています。バージョン26.07より前では、少なくとも1つのクライアント請求書にアクセスできる認証済みのTechnician以上が、agent/post/recurring_invoice.phpで処理されるfrequencyパラメータを通じてSQLを注入できます。このハンドラはrecurring_invoice_frequencyをsanitizeInputに通しますが、それを引用符なしでDATE_ADDに補間するため、SQL構文がinterval式を脱出し、追加のINSERTカラムを割り当て、サブクエリの結果をrecurring_invoice_noteに格納し、それらの結果をagent/recurring_invoice.phpを通じて露出させることが可能になります。永続化されたrecurring_invoice_frequencyは、Force Recurringが後のUPDATEでそれを使用する際に再実行される可能性があり、別の正規ユーザーが二次インジェクションをトリガーできるようになります。これにより、パスワードハッシュ、SMTP認証情報、ユーザーレコード、データベースメタデータが露出し、データベースフィールドが変更され、認証情報のクラッキング後に管理者権限の乗っ取りが可能になる可能性があります。この問題はバージョン26.07で修正されています。

• CVE-2026-54596PoC

  CVE-2026-54596の概念実証エクスプロイト: ITFlowのrecurring_invoice_frequencyパラメータにおける認証済みSQLインジェクションにより、管理者ハッシュと認証情報を含むデータベース全体の外部流出が可能になります。