PT-2026-71703

CVE-2026-59109

Publicado

2026-08-13

Atualizado

2026-08-14

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Zalktis versões anteriores a 2026.1.586 Zalktis versões anteriores a 2026.2.592

Description Existe um problema onde a aplicação concatena valores controlados por parceiros diretamente no texto de instruções SQL durante a importação de faturas eletrônicas recebidas (UBL/PEPPOL) ou exportações de e-commerce. Isso ocorre porque o sistema não utiliza consultas parametrizadas ou a função auxiliar de escape interna Dazadi.sql txt(), permitindo que o remetente manipule a lógica da consulta ao romper a literal de string.

Recommendations Atualize para a versão 2026.1.586 ou posterior. Atualize para a versão 2026.2.592 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

CWE-20: Improper Input Validation

Identificadores relacionados