CVE-2026-54597

Nome do Software Vulnerável e Versões Afetadas ITFlow versões anteriores a 26.07

Descrição Um usuário autenticado com permissão de escrita module support e acesso a um registro de credencial pode realizar uma injeção de SQL cega baseada em tempo. Isso ocorre porque o parâmetro expires do manipulador share generate link no endpoint agent/ajax.php é inserido sem aspas na expressão MySQL INTERVAL item expire at. Embora a função sanitizeInput() aplique escape de contexto de string, a ausência de aspas permite que uma expressão manipulada e uma unidade de intervalo executem consultas condicionais ao banco de dados, cujos resultados são inferidos pelos atrasos na resposta. Isso pode expor hashes de senhas, credenciais SMTP, chaves de API, dados de cofre criptografados e metadados do banco de dados, permitindo a tomada de controle administrativo após a quebra de credenciais.

Recomendações Atualizar para a versão 26.07. Evite usar o parâmetro expires no manipulador share generate link até que a atualização seja aplicada.