CVE-2026-54596

Nome do Software Vulnerável e Versões Afetadas ITFlow versões anteriores a 26.07

Descrição Um usuário autenticado com privilégios de Técnico ou superior que tenha acesso a pelo menos uma fatura de cliente pode realizar a injeção de SQL. O problema ocorre no endpoint 'agent/post/recurring invoice.php' através do parâmetro frequency. Embora o recurring invoice frequency seja processado por sanitizeInput(), ele é interpolado sem aspas em uma função DATE ADD, permitindo que a sintaxe SQL escape da expressão de intervalo. Isso permite que um invasor atribua colunas INSERT adicionais e armazene resultados de subconsultas em recurring invoice note, que são então expostos através do endpoint 'agent/recurring invoice.php'. Além disso, o recurring invoice frequency persistido pode desencadear uma injeção de segunda ordem quando utilizado em uma operação UPDATE subsequente por outro usuário. Isso pode levar à exposição de hashes de senhas, credenciais SMTP, registros de usuários e metadados do banco de dados, bem como a modificação de campos do banco de dados e a potencial tomada de controle administrativo.

Recomendações Atualizar para a versão 26.07.