CVE-2026-61518

Nome do Software Vulnerável e Versões Afetadas ISPConfig (versões afetadas não especificadas)

Description Uma injeção de SQL autenticada existe na Remote API. O parâmetro primary id utilizado nos métodos de API de exclusão e atualização é concatenado diretamente em cláusulas SQL WHERE sem a conversão para inteiro ou vinculação de consulta parametrizada. O scanner de injeção de SQL integrado não bloqueia payloads booleanos sem aspas e não rejeita requisições em sua configuração padrão. Um usuário da API remota com qualquer permissão de função de baixo privilégio pode executar SQL arbitrário para modificar ou excluir registros de todos os locatários no banco de dados do painel de controle e extrair dados sensíveis, como hashes de senhas e registros de clientes, utilizando inferência booleana cega (uma técnica usada para extrair dados fazendo perguntas de verdadeiro/falso ao banco de dados).

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.